Le 21 octobre 2026, des milliers d’entreprises françaises ont découvert au même moment deux mauvaises nouvelles : une partie des sites officiels dont elles dépendent chaque jour était en maintenance, et leur propre site internet devait lui aussi être mis hors ligne en urgence. En cause, deux failles critiques du langage PHP, notées 9,2 sur l’échelle de gravité CVSS v4.0 qui compte 10 échelons, dont les correctifs ont été publiés peu avant 16 heures sur le site officiel de PHP, qui a invité les utilisateurs à mettre à jour dès la disponibilité du correctif. La presse nationale rapporte que de nombreux sites ont été mis hors ligne par précaution le 21 octobre en raison de deux failles touchant PHP, langage très répandu sur le web (Le Monde, 21 octobre 2026). Le Parisien décrit des pages de sites institutionnels affichant un message de maintenance en cours, notamment des sites de préfectures et celui des impôts (Le Parisien, 21 octobre 2026). Les sites de la CNIL comme ceux de titres de presse figuraient aussi parmi les sites mis hors ligne par précaution (Le Monde, 21 octobre 2026). Le ministère de l’intérieur a indiqué que la mise en maintenance préventive de ses sites exposés avait été menée à la demande de l’Agence nationale de la sécurité des systèmes d’information, que ses équipes étaient mobilisées pour appliquer le correctif dès sa diffusion par l’éditeur et que les publications des préfectures seraient relayées sur les réseaux sociaux et par affichage (déclaration rapportée par Le Monde, 21 octobre 2026). À la date de rédaction du présent article, aucune intrusion, aucune exploitation avérée de ces failles sur un site précis ni aucun dommage subi par une entreprise déterminée n’est constaté par une source officielle, aucune responsabilité n’est établie, et les stipulations des contrats signés priment sur toute analyse générale : seul le juge, saisi d’un litige précis avec ses preuves, décide.

Pour le dirigeant, le comptable ou l’associé d’une société dont une échéance fiscale tombe le 21 octobre 2026, la question est immédiate et concrète : que faire quand le site des impôts ne répond plus, comment prouver que la tentative de déclaration ou de paiement a bien eu lieu à temps, et comment éviter que des majorations et des intérêts de retard ne viennent alourdir la facture d’un incident que l’entreprise n’a pas provoqué ? Et pour l’entreprise dont le site vitrine, la boutique en ligne ou l’extranet tourne lui-même sous PHP, la question est symétrique : fallait-il mettre le site hors ligne, qui devait appliquer le correctif, et que répondre aux clients dont les commandes ou les données sont perturbées ? Cet article donne la méthode, les textes applicables lus sur Légifrance et les décisions rendues sur ces textes, sans promettre un résultat qu’aucun texte ne garantit.

I. Faille PHP du 21 octobre et site des impôts en maintenance : comment sauver votre échéance fiscale quand le téléservice ne répond plus

A. Que faire le jour même quand le site des impôts ne répond plus et que l’échéance tombe ?

La première règle tient en une phrase : une maintenance du téléservice, même nationale et même documentée par la presse, n’efface pas d’elle-même l’échéance. Le code général des impôts attache les majorations au simple fait du dépôt tardif : « Le défaut de production dans les délais prescrits d’une déclaration ou d’un acte comportant l’indication d’éléments à retenir pour l’assiette ou la liquidation de l’impôt entraîne l’application, sur le montant des droits mis à la charge du contribuable ou résultant de la déclaration ou de l’acte déposé tardivement, d’une majoration de : a. 10 % en l’absence de mise en demeure ou en cas de dépôt de la déclaration ou de l’acte dans les trente jours suivant la réception d’une mise en demeure d’avoir à le produire dans ce délai » (article 1728 du code général des impôts). Autrement dit, le jour de l’échéance, l’entreprise doit agir comme si le délai restait entier, parce que le texte fait partir la majoration du dépassement lui-même, et la même logique vaut pour le paiement : « Donne lieu à l’application d’une majoration de 5 % tout retard dans le paiement des sommes qui doivent être versées aux comptables de l’administration fiscale au titre des impositions autres que celles mentionnées à l’article 1730 » (article 1731 du code général des impôts). À ces majorations s’ajoute, le cas échéant, l’intérêt de retard, puisque « Toute créance de nature fiscale, dont l’établissement ou le recouvrement incombe aux administrations fiscales, qui n’a pas été acquittée dans le délai légal donne lieu au versement d’un intérêt de retard. A cet intérêt s’ajoutent, le cas échéant, les sanctions prévues au présent code » (article 1727 du code général des impôts).

Concrètement, le 21 octobre 2026, l’entreprise dont une déclaration ou un paiement arrive à échéance gagne à multiplier les traces de sa diligence dès les premières minutes de l’indisponibilité. Captures d’écran horodatées du message de maintenance, enregistrement de l’heure exacte des tentatives de connexion, conservation des messages d’erreur, copie des échanges avec l’assistance du téléservice ou avec le prestataire de télétransmission : chacune de ces pièces pourra ensuite démontrer que le retard ne vient pas d’une négligence. Lorsque l’enjeu financier est lourd, le constat d’un commissaire de justice dressé le jour même, sur place ou à distance, reste la preuve la plus solide de l’indisponibilité, bien plus qu’un simple relevé d’un site privé de signalement de pannes, qui ne constitue qu’un indice. Les entreprises parisiennes et franciliennes disposent sur ce point d’un atout pratique : les études de commissaires de justice sont nombreuses dans le ressort, et un constat dressé dans la journée reste exploitable devant n’importe quel service des impôts en France, quel que soit le lieu du siège.

En parallèle des preuves, il faut tenter toutes les voies alternatives de déclaration et de paiement que la procédure de l’entreprise permet. Espace professionnel, procédure EFI ou EDI via le prestataire de télétransmission habituel, autre navigateur, autre connexion, autre poste : chaque essai compte, et chaque échec doit être noté avec son heure. Si l’un des canaux aboutit, l’échéance est sauvée et le dossier s’arrête là. Si aucun ne fonctionne, l’entreprise rédige le jour même un message au service des impôts des entreprises compétent, via la messagerie sécurisée de son espace professionnel dès qu’elle redevient accessible, ou par tout moyen permettant de prouver la date d’envoi, pour signaler la tentative faite à temps et annoncer la régularisation dès le rétablissement du service. Ce courrier ne crée pas à lui seul une excuse légale, mais il fige la chronologie et il sera la première pièce du dossier de demande de remise. Dès le retour du service, la déclaration est déposée et le paiement est effectué sans attendre un rappel ou une mise en demeure, car le dépôt rapide dans les trente jours suivant une éventuelle mise en demeure limite la majoration à 10 % au lieu de 40 % (article 1728 du code général des impôts), et parce que la majoration de 5 % pour retard de paiement ne s’applique pas lorsque le dépôt tardif est accompagné du paiement de la totalité des droits correspondants dans certains cas visés par le texte (article 1731 du code général des impôts).

Un point mérite d’être dit nettement pour éviter tout malentendu : les décisions consultées pour préparer cet article ne tranchent pas la question de savoir si une maintenance nationale du site des impôts le jour de l’échéance suspendrait d’elle-même le cours du délai ou effacerait automatiquement les majorations. Aucun des textes lus sur Légifrance pendant ce travail ne pose une telle suspension pour cette hypothèse, et l’article 1727, qui énumère les cas dans lesquels l’intérêt de retard n’est pas dû, vise des situations précises et limitées tenant à la position exprimée par le contribuable dans sa déclaration ou à une difficulté d’interprétation d’une disposition nouvelle, sans viser la maintenance du téléservice (article 1727 du code général des impôts). La voie à suivre est donc celle de la preuve et de la demande de remise, exposée au paragraphe suivant, et non celle d’une dispense que l’on supposerait acquise.

B. Majorations de 10 %, majoration de 5 % et intérêts de retard : comment demander la remise quand la panne est subie ?

Lorsque l’avis de majoration arrive malgré les diligences du jour même, tout n’est pas perdu : le livre des procédures fiscales ouvre une voie de clémence que l’entreprise doit activer par une demande écrite et documentée. « L’administration peut accorder sur la demande du contribuable » : « Des remises totales ou partielles d’amendes fiscales ou de majorations d’impôts lorsque ces pénalités et, le cas échéant, les impositions auxquelles elles s’ajoutent sont définitives », ainsi que, par la voie de la transaction, « une atténuation d’amendes fiscales ou de majorations d’impôts lorsque ces pénalités et, le cas échéant, les impositions auxquelles elles s’ajoutent ne sont pas définitives », ces dispositions étant « le cas échéant applicables s’agissant des sommes dues au titre de l’intérêt de retard visé à l’article 1727 du code général des impôts » (article L. 247 du livre des procédures fiscales). Deux enseignements pratiques en découlent. D’abord, l’impôt lui-même reste dû dans son principal : le même article précise qu’« Aucune autorité publique ne peut accorder de remise totale ou partielle de droits d’enregistrement, d’impôt sur la fortune immobilière, de taxe de publicité foncière, de droits de timbre, de taxes sur le chiffre d’affaires, de contributions indirectes, des taxes mentionnées aux articles L. 256 B à L. 256 D et de taxes assimilées à ces droits, taxes et contributions » sur certaines opérations, et la remise gracieuse des impôts directs suppose une impossibilité de payer par suite de gêne ou d’indigence, ce qui est un autre terrain que celui de la panne ponctuelle (article L. 247 du livre des procédures fiscales). L’entreprise ne demande donc pas l’annulation de sa dette fiscale, elle demande l’effacement des pénalités qui sanctionnent un retard qu’elle a tout fait pour éviter. Ensuite, la demande doit distinguer les pénalités définitives, qui relèvent de la remise gracieuse, et celles qui ne le sont pas encore, qui relèvent de la transaction : en pratique, l’entreprise formule sa demande dans les deux registres, remise et subsidiairement transaction, pour ne pas se voir opposer le mauvais fondement.

Le contenu du dossier fait la différence entre une demande qui prospère et une demande rejetée comme vague. Le Conseil d’État contrôle l’usage que l’administration fait de son pouvoir de remise, et il a jugé que « Lorsque l’impossibilité de payer dans laquelle se trouve le contribuable par suite de gêne ou d’indigence, qui s’apprécie à la date à laquelle elle se prononce, est imputable à l’organisation volontaire par celui-ci de son insolvabilité, l’administration peut rejeter une demande de remise gracieuse formée sur le fondement de ces dispositions sans avoir à rechercher s’il existe une disproportion entre les revenus du contribuable et le montant de sa dette fiscale, cette disproportion étant alors artificielle » (Conseil d’État, 8e et 3e chambres réunies, 7 mars 2019, n° 419907). La leçon à en tirer pour le dossier de panne est symétrique : une impossibilité qui n’est en rien organisée par l’entreprise, qui est subie, datée, documentée et suivie d’une régularisation immédiate, entre pleinement dans l’office d’appréciation de l’administration, sans que le succès soit pour autant garanti. Le dossier type comprend donc la chronologie précise des tentatives du 21 octobre 2026 avec leurs heures, les captures et le constat éventuel, la copie du message adressé au service le jour même, la preuve du dépôt et du paiement dès le rétablissement, l’historique de ponctualité fiscale de l’entreprise sur les exercices précédents, et le rappel du contexte national attesté par la presse : plusieurs sites institutionnels français, notamment ceux des préfectures et celui des impôts, affichaient un message de maintenance en cours le même jour (Le Parisien, 21 octobre 2026).

Deux erreurs doivent être évitées. La première serait d’invoquer des inexactitudes ou des omissions volontaires : les majorations pour manquement délibéré, abus de droit ou manœuvres frauduleuses, qui atteignent 40 % à 80 %, relèvent d’un autre article et d’une autre logique que le simple retard subi (article 1729 du code général des impôts), et les mélanger dans la demande brouille le message. La seconde serait d’attendre : l’entreprise qui a régularisé dépose sa demande de remise dès réception de l’avis de majoration, en visant expressément l’article L. 247 du livre des procédures fiscales (article L. 247 du livre des procédures fiscales), en joignant l’ensemble des preuves dans un dossier unique, et en conservant la preuve de l’envoi et de la réception. Si la demande est rejetée, le refus peut être contesté devant le juge administratif, qui vérifiera notamment que l’administration n’a pas commis d’erreur d’appréciation au regard des pièces produites, comme l’illustre le contrôle exercé dans la décision du 7 mars 2019 précitée (Conseil d’État, 7 mars 2019, n° 419907). Pour une société dont la trésorerie est tendue, il est enfin utile de rappeler que la remise des impôts directs régulièrement établis suppose une impossibilité de payer par suite de gêne ou d’indigence, appréciée à la date de la décision (article L. 247 du livre des procédures fiscales) : ce fondement ne doit être invoqué que s’il correspond réellement à la situation de l’entreprise, avec les justificatifs comptables et bancaires qui l’établissent.

II. Votre propre site en maintenance après la faille PHP : patch, preuve et clients

A. Patch PHP, prestataire et hébergeur : qui devait mettre à jour et comment le prouver ?

Le 21 octobre 2026 a placé des milliers d’entreprises devant le même dilemme : laisser leur site en ligne en espérant qu’il ne serait pas attaqué, ou le mettre hors ligne par précaution en acceptant la perte d’activité. Les autorités de cybersécurité ont tranché nettement en faveur de la prudence : l’équipe européenne d’intervention en cas d’urgence informatique, les centres britannique et australien de cybersécurité et l’agence américaine de renseignement ont recommandé de mettre à jour sans attendre ou de mettre hors ligne tout site sous PHP qui n’aurait pas encore bénéficié de la mise à jour, et le ministère de l’intérieur a appliqué cette doctrine à ses propres sites à la demande de l’Agence nationale de la sécurité des systèmes d’information (Le Monde, 21 octobre 2026). Une entreprise qui a suivi cette recommandation officielle et mis son site en maintenance préventive le temps d’appliquer le correctif publié peu avant 16 heures s’est donc comportée en gestionnaire diligent, et elle doit conserver la trace de ce choix : copie de l’annonce du correctif, horodatage de la mise en maintenance, journal des opérations de mise à jour, version de PHP avant et après, tests de remise en ligne. Ces pièces serviront deux fois : d’abord pour répondre aux clients qui se plaignent de l’interruption, ensuite pour discuter, le cas échéant, avec le prestataire informatique ou l’hébergeur dont la mission incluait la sécurité du site.

C’est ici que le contrat signé reprend toute sa place, car il désigne qui devait faire quoi, et dans quel temps. La jurisprudence distingue classiquement, dans les contrats de maintenance, l’obligation de moyens de l’obligation de résultat, et la cour d’appel de Paris l’a rappelé dans un litige opposant un mainteneur à son client : la société de maintenance « affirme qu’au titre de la maintenance préventive, ne lui incombait qu’une obligation de moyens, qu’au titre de la maintenance corrective, ne lui incombait une obligation de résultat uniquement concernant les dépannages », tandis que le client soutenait qu’elle « était débitrice d’une obligation de résultat de réparation et de maintenance tant préventive que corrective », la cour tranchant au vu des stipulations contractuelles et rappelant que « les conventions légalement formées tiennent lieu de loi à ceux qui les ont faites » et qu’« elles doivent être exécutées de bonne foi », sur le fondement des articles 1134 et 1147 du code civil dans leur rédaction alors applicable (cour d’appel de Paris, pôle 5, chambre 5, 22 septembre 2022, n° 20/04119). Transposée à la faille PHP du 21 octobre 2026, cette grille donne des questions simples, à poser contrat en main : le contrat de maintenance ou d’infogérance met-il la veille sécurité et l’application des correctifs critiques à la charge du prestataire, avec quel temps d’intervention garanti, et l’hébergeur s’est-il engagé sur une garantie de temps de rétablissement ou sur une simple obligation de moyens ? Le droit commun de l’inexécution est sévère pour le débiteur défaillant : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil), et il n’y a « force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur », l’empêchement temporaire ne faisant que suspendre l’exécution « à moins que le retard qui en résulterait ne justifie la résolution du contrat » (article 1218 du code civil).

En pratique, l’entreprise qui estime que son prestataire a tardé à appliquer le correctif du 21 octobre 2026 commence par le mettre en demeure par écrit, en visant les clauses du contrat et en fixant un délai de régularisation, avant toute décision de résiliation. La résolution « met fin au contrat » et « Lorsque les prestations échangées ont trouvé leur utilité au fur et à mesure de l’exécution réciproque du contrat, il n’y a pas lieu à restitution pour la période antérieure à la dernière prestation n’ayant pas reçu sa contrepartie », tandis que « Lorsque les prestations échangées ne pouvaient trouver leur utilité que par l’exécution complète du contrat résolu, les parties doivent restituer l’intégralité de ce qu’elles se sont procuré l’une à l’autre » (article 1229 du code civil). Une résiliation précipitée, sans mise en demeure ni constat des manquements, exposerait l’entreprise à passer du statut de créancier à celui de débiteur, si le juge estimait la rupture abusive. Le triptyque de la force majeure mérite enfin d’être rappelé dans les termes employés par la Cour de cassation : « force majeure permettant à l’employeur de s’exonérer de tout ou partie des obligations nées de la rupture d’un contrat de travail s’entend de la survenance d’un événement extérieur, imprévisible lors de la conclusion du contrat et irrésistible dans son exécution » (Cour de cassation, chambre sociale, 16 mai 2012, n° 10-17.726). Un prestataire serait susceptible de tenter d’invoquer la soudaineté de la faille pour expliquer un retard de quelques heures, et une entreprise cliente serait susceptible d’invoquer la même soudaineté pour expliquer une interruption de service à ses propres clients : dans les deux cas, le caractère extérieur, imprévisible et irrésistible se discute pièce par pièce, en tenant compte des correctifs publiés peu avant 16 heures, des recommandations officielles de mise hors ligne préventive et des mesures que chacun avait ou non anticipées dans son plan de continuité, et seul le juge, au vu du contrat et des faits prouvés, dirait si l’exonération est acquise.

B. Commandes bloquées et données clients pendant la maintenance : que répondre, rembourser et tracer ?

Pendant les heures où la boutique en ligne affiche un message de maintenance, les commandes continuent d’exister juridiquement : celles qui ont été acceptées avant la coupure doivent être honorées, et celles qui n’ont pas pu être passées représentent des ventes perdues qu’il faut traiter commercialement sans créer de contentieux. La méthode la plus sûre consiste à informer vite et par écrit : bandeau sur le site dès la remise en ligne expliquant en termes simples la maintenance de sécurité du 21 octobre 2026, courriels aux clients dont la commande est retardée avec une nouvelle date réaliste, proposition de report, d’avoir ou de remboursement lorsque la nouvelle date annoncée ne peut pas être tenu. Sur le plan juridique, cette transparence n’est pas de la simple communication : si le litige survient, le juge appréciera le comportement de chaque partie au regard de l’article 1231-1 du code civil, qui subordonne les dommages et intérêts à une inexécution non justifiée par la force majeure (article 1231-1 du code civil), et au regard des conditions strictes de l’article 1218, qui exige un événement échappant au contrôle du débiteur, imprévisible lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées (article 1218 du code civil). Une entreprise qui démontre qu’elle a mis son site en maintenance préventive conformément aux recommandations officielles, appliqué le correctif dès sa publication peu avant 16 heures, informé ses clients et proposé des solutions de remplacement, se présente devant le juge avec un dossier de diligence qui n’exonère de rien automatiquement mais qui pèse dans l’appréciation des responsabilités et des préjudices.

Le traitement des paiements déjà encaissés demande une rigueur particulière. Lorsqu’une commande payée ne peut être livrée dans le temps promis à cause de la maintenance, la résolution du contrat anéantit rétroactivement l’échange : « La résolution met fin au contrat », et « Lorsque les prestations échangées ne pouvaient trouver leur utilité que par l’exécution complète du contrat résolu, les parties doivent restituer l’intégralité de ce qu’elles se sont procuré l’une à l’autre » (article 1229 du code civil). Concrètement, le prix perçu pour une commande annulée doit être restitué, et les conditions générales de vente qui organiseraient des frais de résolution excessifs ou des avoirs imposés sans possibilité de remboursement s’exposent à la discussion devant le juge. Mieux vaut donc rembourser vite et sans chicane les commandes que l’entreprise sait ne pas pouvoir honorer, plutôt que de laisser s’installer un litige dont le coût dépassera vite le montant du remboursement. Pour les commandes simplement retardées de quelques heures ou de quelques jours, un geste commercial proportionné, frais de livraison pris en charge sur la prochaine commande ou remise ciblée, coûte toujours moins cher qu’une procédure, et il se décide au regard du contrat et des usages, sans texte qui l’imposerait.

Reste la question que tout dirigeant se pose après une faille de cette ampleur : les données des clients ont-elles été compromises pendant la fenêtre de vulnérabilité ? À la date de rédaction, les sources consultées décrivent des mises en maintenance préventives et des attaques exploitant ces vulnérabilités déjà signalées dans la presse, sans qu’aucune source officielle ne constate une compromission précise de données d’une entreprise déterminée. Le vocabulaire doit donc rester prudent : une entreprise ne déclare pas qu’elle a été victime d’une fuite avérée si elle ne l’a pas établie, elle explique qu’une vulnérabilité critique a été rendue publique, que son site a été mis en maintenance préventive conformément aux recommandations officielles, et que des vérifications sont en cours. Ces vérifications se tracent : journaux de connexion conservés, analyse des accès suspects sur la période d’exposition, inventaire des sauvegardes, échange écrit avec l’hébergeur et le prestataire sur les correctifs appliqués et l’heure exacte de leur application. Si un indice sérieux d’accès non autorisé apparaissait, l’entreprise ferait analyser ses journaux sans attendre, préserverait les preuves, et examinerait avec son conseil les notifications à adresser aux autorités et aux personnes concernées au regard des textes applicables à sa situation, sans improviser sur les fondements ni sur les temps. Dans tous les cas, les contrats signés avec l’hébergeur, le prestataire de maintenance et les sous-traitants qui accèdent aux données priment pour répartir les rôles et les coûts, et seule une décision de justice, au vu des pièces, dirait qui supporte finalement quoi.

Conclusion

La faille PHP du 21 octobre 2026 restera comme un cas d’école : deux vulnérabilités notées 9,2 sur 10, des correctifs publiés peu avant 16 heures, et, entre-temps, le site des impôts, des sites de préfectures, Météo France et la CNIL simultanément en maintenance préventive, à la demande de l’Agence nationale de la sécurité des systèmes d’information pour les sites du ministère de l’intérieur. Pour l’entreprise dont une échéance fiscale tombait ce jour-là, la conduite à tenir ne relève d’aucun automatisme : prouver la tentative faite à temps, régulariser dès le rétablissement, puis demander la remise des majorations et des intérêts sur le fondement de l’article L. 247 du livre des procédures fiscales (article L. 247 du livre des procédures fiscales), en sachant que le principal de l’impôt reste dû et que les textes lus sur Légifrance pendant la préparation de cet article ne prévoient pas d’effacement automatique lié à la maintenance du téléservice (article 1727 du code général des impôts ; article 1728 du code général des impôts). Pour l’entreprise dont le site tourne sous PHP, la même logique s’applique en miroir : patcher et tracer, relire le contrat de maintenance à la lumière de la distinction entre obligation de moyens et obligation de résultat rappelée par la cour d’appel de Paris (cour d’appel de Paris, 22 septembre 2022, n° 20/04119), mettre en demeure avant de résilier (article 1229 du code civil), informer les clients et rembourser ce qui ne peut être livré. Aucune intrusion, aucun dommage ni aucune responsabilité ne sont constatés par une source officielle à la date de rédaction, et les décisions citées ne promettent aucun succès : elles décrivent les contrôles que le juge exercera. Dans ce cadre, un dossier daté, complet et adressé vite à la bonne autorité reste la meilleure défense de l’entreprise, qu’elle soit contribuable face à son service des impôts ou fournisseur face à ses clients.