Observatoire de la gouvernance du QuébecQuebec Governance Monitor

Independent, non-partisan. One page a day. Every story linked to its source.Indépendant, non partisan. Une page par jour. Chaque nouvelle renvoie à sa source.

RSSRSS

← DossiersDossiers

PHP flaw & public websitesFaille PHP et sites publics

The October 2026 PHP vulnerability and the precautionary shutdown of Quebec public-sector websites.

La vulnérabilité PHP d’octobre 2026 et la fermeture préventive de sites du secteur public québécois.

In 30 secondsEn 30 secondes

What happenedCe qui s’est passé
A flaw in PHP, a common web programming language, was made public on Oct. 21. Several public websites were shut as a precaution.Une faille dans PHP, un langage de programmation web courant, a été rendue publique le 21 octobre. Plusieurs sites publics ont été fermés par précaution.
Why it matters to taxpayersPourquoi c’est important pour les contribuables
People could not use some online public services, such as the SAQ, STM and SAAQ sites.Des gens n’ont pas pu utiliser certains services publics en ligne, comme les sites de la SAQ, de la STM et de la SAAQ.
Where things standOù en sont les choses
The ferry corporation’s web apps are back. Hydro-Québec’s Customer Space, shut for an unrelated reason, is expected back on Oct. 26.Les applications web de la Société des traversiers sont de retour. L’Espace client d’Hydro-Québec, fermé pour une raison sans lien, devrait revenir le 26 octobre.

Printable fact sheetFiche imprimable

What’s nextÀ surveiller

Only dates stated in a cited source. Dates can change.Seulement des dates indiquées par une source citée. Les dates peuvent changer.

  • Hydro-Québec’s online Customer Space is expected to be available again (Monday).L’Espace client en ligne d’Hydro-Québec devrait être de nouveau accessible (lundi). (Montreal Gazette)

5 events, in the order they happened. Allegations are reported as such and are unproven unless stated.événements, dans l’ordre où ils se sont produits. Les allégations sont présentées comme telles et ne sont pas prouvées, sauf mention contraire.

Names in this dossier (see the network map):Noms dans ce dossier (voir la carte du réseau) : Société des alcools du Québec, Société de l’assurance automobile du Québec, Société de transport de Montréal, Société des traversiers du Québec, Hydro-Québec

  1. BackgroundContexte

    Two flaws in the PHP programming language are discovered in late August; they are made public only after PHP fixes them.

    Deux failles du langage PHP sont découvertes à la fin août; elles ne sont rendues publiques qu’après leur correction par PHP.

    MediaMédia Radio-Canada: Faille informatique mondiale : la SAQ, la STM et la SAAQ verrouillent leurs sites · Digest ofBulletin du October 22, 202622 octobre 2026

  2. The flaws are made public; the SAQ, the STM and the SAAQ lock their transactional websites as a precaution.

    Les failles sont rendues publiques; la SAQ, la STM et la SAAQ verrouillent par précaution leurs sites transactionnels.

    MediaMédia Radio-Canada: Faille informatique mondiale : la SAQ, la STM et la SAAQ verrouillent leurs sites · Digest ofBulletin du October 22, 202622 octobre 2026

  3. Hydro-Québec’s online Customer Space goes offline after unusual and unauthorized login attempts.

    L’Espace client d’Hydro-Québec est mis hors ligne après des tentatives de connexion inhabituelles et non autorisées.

    MediaMédia Montreal Gazette: Hydro-Québec targeted in cyber scare as global hacking fears spread · Digest ofBulletin du October 24, 202624 octobre 2026

  4. The Société des traversiers du Québec says its web applications closed over the PHP flaw (alerts, schedules, customer accounts) are accessible again; the closure was preventive.

    La Société des traversiers du Québec annonce que ses applications Web fermées en raison de la faille PHP (alertes, horaires, comptes clients) sont à nouveau accessibles; la fermeture était préventive.

    Primary sourceSource primaire Communiqué (CNW): Vulnérabilité critique de PHP - Les applications informatiques touchées à nouveau accessibles · Digest ofBulletin du October 24, 202624 octobre 2026

  5. Hydro-Québec says its Customer Space should stay unavailable until Monday, Oct. 26, that no systems were compromised and that the shutdown is unrelated to the PHP flaw.

    Hydro-Québec indique que son Espace client devrait rester inaccessible jusqu’au lundi 26 octobre, qu’aucun système n’a été compromis et que la fermeture n’est pas liée à la faille PHP.

    MediaMédia Montreal Gazette: Hydro-Québec targeted in cyber scare as global hacking fears spread · Digest ofBulletin du October 24, 202624 octobre 2026