Le mercredi 21 octobre 2026, deux incidents sans lien entre eux ont rappelé à beaucoup d’entreprises que leur activité dépend de briques qu’elles ne maîtrisent pas. D’un côté, deux failles critiques du langage PHP ont poussé de nombreux organismes à couper eux-mêmes leurs sites web en attendant de les corriger. De l’autre, le réseau mobile d’Orange a été perturbé pendant une bonne partie de la journée. La vidéo « Orange et sites down : Il s’est passé quoi le 21 octobre 2026 ? » de la chaîne CodingBiceps retrace la journée heure par heure. Cet article en tire les leçons pour une entreprise : ce qui peut s’arrêter, ce que l’assurance peut prendre en charge selon les conditions du contrat, et ce qu’il faut préparer avant la prochaine fois.
Ce qui s’est passé le 21 octobre
Des sites coupés volontairement à cause de deux failles PHP
PHP est le langage qui fait fonctionner, côté serveur, une grande partie des sites web, dont ceux construits avec WordPress, Drupal ou PrestaShop. Le 20 octobre, l’équipe de PHP a annoncé deux vulnérabilités notées 9,2 sur 10, CVE-2026-109618 et CVE-2026-109619, qui permettent dans certains cas d’exécuter du code à distance sur le serveur. Après la diffusion prématurée en ligne des numéros de ces failles, le projet PHP a avancé la publication des correctifs d’un jour, selon la PHP Foundation, au 21 octobre vers 16 heures, heure de Paris. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour PHP, aucune parade complète n’existe : seule la mise à jour protège réellement.
Le CERT-FR a publié l’alerte CERTFR-2026-ALE-014 et a recommandé d’isoler les équipements qui fonctionnent avec des versions de PHP qui ne sont plus maintenues (5.x à 8.1.x), puis de migrer vers une version corrigée. Plusieurs organismes publics ont alors placé leurs sites en maintenance par précaution. Le ministère de l’Intérieur l’a fait pour l’ensemble de ses sites exposés à la faille, dont ceux des préfectures, selon Actu17. Météo-France a fermé ses sites avant de les rétablir dans la soirée, selon Clubic. En fin d’après-midi, les sites des préfectures restaient inaccessibles.
Une panne du réseau mobile d’Orange, pour une autre raison
Le même jour, à partir d’environ 11 h 20, de nombreux clients d’Orange, et certains abonnés Sosh, n’ont plus pu passer d’appels, envoyer de SMS ou utiliser l’internet mobile. Downdetector a enregistré près de 12 000 signalements autour de 11 h 50, selon Selectra. Orange a attribué l’incident à une défaillance d’un équipement de son cœur de réseau mobile, d’après franceinfo. Le service est revenu dans la soirée. Aucune source officielle ne relie cette panne aux failles de PHP : il s’agit de deux événements distincts survenus le même jour.
Ce que ces incidents ont pu coûter aux entreprises
Une entreprise n’a pas besoin d’être attaquée pour perdre une journée d’activité. Le 21 octobre, les situations suivantes étaient possibles, selon l’équipement de chacun :
- un site marchand ou de prise de rendez-vous coupé le temps de la mise à jour, éventuellement par l’hébergeur, avec des commandes et des demandes perdues ;
- une mise à jour en urgence à faire faire par un prestataire, en dehors de tout contrat de maintenance, et donc facturée au tarif de l’intervention ponctuelle ;
- un téléphone professionnel muet pour les clients d’un seul opérateur mobile : appels de clients manqués, codes de validation par SMS non reçus, applications métier inaccessibles en déplacement ;
- des équipements qui passent par le réseau mobile, comme certains terminaux de paiement ou boîtiers connectés, susceptibles de ne plus communiquer s’ils ne disposent pas d’un autre accès.
Le point commun de ces situations est l’absence de dommage matériel : rien n’a brûlé, rien n’a été volé, aucun équipement de l’entreprise n’est cassé. C’est précisément ce qui complique la question de l’assurance.
Que peut prendre en charge l’assurance ?
Les réponses ci-dessous décrivent ce que l’on rencontre généralement sur le marché français. Chaque contrat a ses propres définitions, extensions, franchises et exclusions : seules vos conditions générales et particulières font foi.
| Situation du 21 octobre | Garantie à examiner | Ce qui est généralement exigé | Point à vérifier |
|---|---|---|---|
| Site coupé volontairement par précaution | Assurance cyber, volet pertes d’exploitation | Un événement garanti : attaque, intrusion ou, selon les contrats, défaillance du système | Une mise hors ligne préventive, sans attaque, est-elle prévue (frais de prévention, mesures conservatoires) ? |
| Ventes perdues pendant la coupure du site | Pertes d’exploitation d’une multirisque | En général, un dommage matériel garanti dans vos locaux (incendie, dégât des eaux…) | Une coupure sans dommage matériel est le plus souvent hors garantie |
| Réseau mobile ou internet indisponible | Extension « carence de fournisseur » ou « carence d’accès » | Souvent un dommage matériel chez le fournisseur désigné, et une liste de fournisseurs couverts | Les opérateurs de télécommunications sont-ils inclus, et à partir de quelle durée d’interruption ? |
| Site non corrigé par un prestataire qui en avait la charge | RC Pro du prestataire web | Une faute dans l’exécution de sa mission et un préjudice démontré | Le contrat de maintenance prévoyait-il l’application des correctifs de sécurité, et dans quel délai ? |
| Interruption chez l’opérateur ou l’hébergeur | Engagements contractuels du fournisseur | Les garanties de service (SLA) ou de temps de rétablissement de votre offre | Pénalités ou avoirs prévus, plafonds et délai de réclamation |
Deux points méritent une attention particulière. D’abord, la perte d’exploitation d’une multirisque classique suppose presque toujours un dommage matériel : une panne de réseau ou une maintenance volontaire n’en est pas un. Ensuite, les contrats cyber ne couvrent pas tous les incidents non malveillants. Certains proposent en option la « défaillance du système » ou la carence d’un prestataire informatique. D’autres limitent la garantie aux attaques avérées. Si une alerte de sécurité vous conduit à couper un service sans avoir été attaqué, c’est cette nuance qui décidera de l’indemnisation.
Pour approfondir le mécanisme, notre guide sur l’assurance pertes d’exploitation détaille les modes de calcul et les franchises, et notre article sur les risques d’une PME qui dépend du cloud décrit les dépendances à cartographier.
Les clauses à relire dans vos contrats de prestataires
- Contrat d’hébergement et de maintenance du site : qui surveille les alertes de sécurité, qui applique les correctifs critiques, dans quel délai, et à quel prix hors forfait.
- Engagements de service (SLA) : taux de disponibilité, garantie de temps de rétablissement, pénalités et façon de les réclamer. Une offre grand public n’en prévoit souvent aucun.
- Responsabilité et assurance du prestataire : plafond de responsabilité, attestation de RC Pro à jour, éventuelle assurance cyber.
- Accès et réversibilité : qui détient les accès à l’hébergement, au nom de domaine et aux sauvegardes, pour pouvoir agir sans attendre le prestataire.
Checklist de continuité : ce qu’une entreprise peut préparer cette semaine
- Lister vos dépendances critiques : site, outil de réservation ou de vente, téléphonie, paiement, messagerie. Pour chacune, notez le fournisseur et le contact d’urgence.
- Prévoir un second accès : une ligne mobile chez un autre opérateur, ou un accès fixe de secours, pour le téléphone principal et les terminaux de paiement qui le permettent.
- Vérifier le terminal de paiement : savoir s’il fonctionne en Wi-Fi, en Ethernet ou uniquement en 4G, et s’il accepte un mode dégradé.
- Sécuriser le DNS : un fournisseur DNS fiable, idéalement avec des serveurs secondaires chez un autre prestataire, et un accès au registrar protégé par une double authentification.
- Héberger en fonction de l’enjeu : pour un site qui génère des ventes, demander une infrastructure répartie sur plusieurs zones ou régions, avec des sauvegardes restaurables ailleurs.
- Maintenir les logiciels à jour : connaître la version de PHP ou du CMS de votre site, et savoir qui la met à jour, avec quel délai, quand une alerte du CERT-FR paraît.
- Préparer une page de maintenance utile : horaires, numéro de téléphone alternatif, adresse e-mail et moyen de commander autrement.
- Écrire un plan de communication : qui prévient les clients, par quels canaux (réseaux sociaux, affichage en boutique, e-mail), avec des messages types prêts à l’emploi.
- Garder une trace de chaque interruption : heures, chiffre d’affaires habituel sur la période, échanges avec les fournisseurs. Ces éléments servent à toute réclamation auprès d’un fournisseur ou d’un assureur.
- Relire vos contrats d’assurance avec cette journée en tête : pertes d’exploitation, carence de fournisseur, cyber, et RC Pro de vos prestataires.
Faire le point avec un courtier
Si cette journée a révélé une dépendance que vous n’aviez pas mesurée, MENELAS peut étudier vos contrats actuels et rechercher les garanties adaptées à votre activité. Présentez votre situation sur la page assurance cyber risques pour les entreprises. L’étude ne vaut ni acceptation par un assureur ni promesse de garantie : la couverture résulte du contrat émis et de ses conditions.
Sources
- CodingBiceps, « Orange et sites down : Il s’est passé quoi le 21 octobre 2026 ? », vidéo YouTube publiée le 22 octobre 2026
- php.net, annonce des versions correctives, 21 octobre 2026
- PHP Foundation, billet sur la publication de sécurité, 21 octobre 2026
- CERT-FR, alerte CERTFR-2026-ALE-014, 21 octobre 2026
- Actu17 et Clubic, sites publics mis en maintenance, 21 octobre 2026
- franceinfo et Selectra, panne du réseau mobile d’Orange, 21 octobre 2026
Article rédigé le 22 octobre 2026 à partir des informations publiées à cette date. Les bilans définitifs de ces incidents peuvent encore évoluer.
