Le 21 octobre 2026, des centaines de sites français ont affiché une page de maintenance en quelques heures : sites de préfectures et de ministères, Météo France, le site des impôts, des médias, et même le site de la CNIL, selon BFM Tech qui a suivi l’incident en direct. En cause, deux failles critiques du langage PHP, pour lesquelles l’éditeur a publié un correctif urgent le jour même, et l’alerte du CERT-FR qui a suivi dans la foulée. Pour une entreprise dont la boutique, la réservation en ligne ou l’espace client est resté inaccessible, la question pratique n’est plus de comprendre la faille, mais de savoir qui devait installer le correctif : l’hébergeur qui loue le serveur, l’agence qui a construit le site, le prestataire de maintenance, ou les trois à la fois. La réponse se lit d’abord dans vos contrats, et c’est elle qui détermine qui paiera la perte d’exploitation.
Cet article s’adresse au dirigeant, à l’associé et au responsable e-commerce dont le site est resté en maintenance le 21 octobre 2026. Il décrit, à partir de l’alerte officielle du CERT-FR et de deux arrêts récents rendus dans des litiges entre clients et prestataires informatiques, comment se répartit l’obligation de corriger entre l’hébergeur et l’agence, puis quels recours le contrat met à votre disposition : mise en demeure, exécution par un tiers, suspension, résiliation et indemnisation. Les décisions de crise à prendre dans l’urgence, comme la mise hors ligne temporaire du site ou la notification d’une éventuelle violation de données, sont traitées dans notre article sur la mise hors ligne du site, la notification à la CNIL et l’action contre le prestataire et dans notre dossier sur la protection des données clients après une faille ; ici, c’est le terrain contractuel et financier de l’après-panne qui est examiné, pièce par pièce.
I. Qui devait installer le correctif sur votre site ?
A. Votre hébergeur devait-il patcher : une obligation de moyens encadrée par le contrat
Le point de départ est officiel et daté. Le 20 octobre 2026, PHP a annoncé deux vulnérabilités critiques, avec des correctifs disponibles le 21 octobre 2026 à 16h00 heure de Paris, et le CERT-FR a émis le 21 octobre 2026 son alerte CERTFR-2026-ALE-014 : les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance, sur toutes les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, ainsi que sur les versions 8.2.x antérieures à 8.2.35, 8.3.x antérieures à 8.3.36, 8.4.x antérieures à 8.4.27 et 8.5.x antérieures à 8.5.12 (alerte CERT-FR du 21 octobre 2026). Pour les branches 5.x à 8.1.x, que l’éditeur ne maintient plus, le CERT-FR recommande d’isoler les équipements puis de migrer vers une version maintenue avec les derniers correctifs. En attendant le correctif, il propose un contournement, comme la désactivation de la fonction de progression des téléversements dans le fichier de configuration, et rappelle que ces mesures peuvent être déployées au niveau d’un pare-feu applicatif. Ces éléments de fait conditionnent toute la discussion juridique : à partir du 21 octobre à 16h00, le correctif existait et son installation relevait d’une opération d’administration courante.
Sur le plan contractuel, l’hébergeur est en principe tenu d’une obligation de moyens : il s’engage à apporter tout le soin et la diligence nécessaires, conformément aux usages de la profession et à l’état de l’art, mais il ne garantit pas un résultat absolu de disponibilité. La cour d’appel de Douai l’a rappelé le 24 avril 2025 dans un litige opposant un hébergeur à une société cliente dont le site constituait le point d’entrée principal de son réseau commercial : les conditions générales et particulières rappelaient que l’hébergeur est soumis à une obligation de moyen, s’engageant à apporter tout le soin et la diligence nécessaires à la fourniture de services de qualité, conformément aux usages de la profession et à l’état de l’art (CA Douai, 24 avr. 2025, RG n° 23/00858). Dans cette affaire, née de l’incendie d’un centre de données, la cour distingue avec soin : l’obligation de réaliser la sauvegarde souscrite par le client est une obligation de résultat, qui comporte l’obligation de laisser le client accéder à ses données sauvegardées, tandis que la réussite et la qualité de cette sauvegarde relèvent des moyens. Transposée à la faille PHP, cette grille signifie que votre hébergeur ne vous devait pas une disponibilité parfaite du site en toute circonstance, mais qu’il vous devait les diligences d’un professionnel : appliquer les correctifs de sécurité du système et de l’infrastructure dont il a la charge, vous alerter, et vous laisser les moyens d’agir sur votre serveur.
Concrètement, trois vérifications s’imposent dans votre contrat d’hébergement. D’abord, le périmètre : en hébergement mutualisé ou infogéré, la mise à jour de l’interpréteur PHP incombe normalement à l’hébergeur, qui administre la plateforme ; en serveur dédié ou virtuel non administré, c’est vous, ou votre prestataire de maintenance, qui décidez des montées de version, et l’hébergeur ne fournit que la machine et le réseau. Ensuite, les engagements de niveau de service : disponibilité garantie en pourcentage, garantie de temps de rétablissement, astreinte, crédits et pénalités. Ce sont ces clauses qui chiffrent par avance le prix d’une indisponibilité et ouvrent un droit à dédommagement automatique, souvent sous la forme d’avoirs. Enfin, les clauses de responsabilité : plafonds exprimés en mois de facturation, exclusions pour les données et les sauvegardes, répartition des rôles en matière de sauvegarde. L’arrêt de Douai montre que ces stipulations sont appliquées à la lettre : le client y était seul responsable de sa politique de sauvegarde et des modalités de sa mise en oeuvre, l’hébergeur ne participant aucunement à la conception ni à la réalisation de la solution de sauvegarde. Si votre site tournait sur une version de PHP dont l’éditeur n’assure plus le support, comme les branches 5.x à 8.1.x visées par l’alerte, et que votre prestataire vous y a maintenu sans vous proposer la migration recommandée par le CERT-FR, conservez toute la correspondance : ce sera le coeur du débat sur le devoir d’information.
Le devoir d’information pèse en effet sur le professionnel qui en sait plus que vous. L’article 1112-1 du code civil dispose que celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer, dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant (art. 1112-1 du code civil). Un hébergeur ou une agence qui savait votre site exposé sur une version vulnérable, et qui ne vous a ni alerté ni proposé le correctif ou la migration alors que le CERT-FR les recommandait publiquement, s’expose à voir ce silence retenu contre lui. La question n’est pas de savoir si la faille était prévisible en 2024, mais si, une fois l’alerte publique et le correctif disponible, le professionnel a accompli les diligences attendues et vous a mis en mesure de décider en connaissance de cause, y compris de la mesure radicale consistant à mettre le site temporairement hors ligne.
B. Votre agence et votre maintenance : prévenir, patcher et documenter
Si un contrat de maintenance ou de tierce maintenance applicative couvre votre site, c’est lui qui désigne le débiteur du correctif applicatif. Relisez-en l’objet : la maintenance corrective couvre en général les anomalies et les mises à jour de sécurité du socle livré, parfois avec des délais d’intervention et de résolution gradués selon la criticité. Une faille qualifiée de critique par l’éditeur et le CERT-FR, avec exécution de code à distance possible, entre sans discussion dans le haut de l’échelle. Vérifiez aussi les exclusions : versions exclues du périmètre, technologies tierces, interventions sur l’infrastructure qui relèverait de l’hébergeur. Quand le site a été construit par une agence sans contrat de maintenance suivi, la situation est différente : l’agence reste tenue de ses obligations de conseil et de mise en garde au titre de la conception et de la recette, notamment si elle vous a livré, peu avant l’incident, un site fondé sur une version de PHP déjà en fin de vie, mais elle n’est pas votre administrateur système permanent. Dans ce cas, l’absence de prestataire désigné pour les mises à jour de sécurité constitue en elle-même une vulnérabilité organisationnelle à corriger après la crise.
La cour d’appel de Paris a confirmé le 9 mai 2025 la résiliation d’un contrat de maintenance informatique et la caducité de l’ensemble contractuel qui l’accompagnait, dans un litige opposant une pharmacie cliente à son prestataire informatique et à l’organisme de financement : la résiliation du contrat de garantie retour atelier et la caducité du contrat de location financière ont été prononcées à la même date, et le contrat de vente conclu entre le prestataire et l’organisme de financement, jugé interdépendant, a été déclaré caduc en application de l’article 1186 du code civil (CA Paris, 9 mai 2025, RG n° 22/20837). L’article 1186 dispose que lorsque l’exécution de plusieurs contrats est nécessaire à la réalisation d’une même opération et que l’un d’eux disparaît, sont caducs les contrats dont l’exécution est rendue impossible par cette disparition et ceux pour lesquels l’exécution du contrat disparu était une condition déterminante du consentement d’une partie (art. 1186 du code civil). Pour votre site, l’enseignement est double : si votre présence en ligne repose sur un montage liant location financière du matériel ou du logiciel, maintenance et hébergement, la chute judiciaire de l’un peut entraîner les autres, avec restitutions croisées ; et le prestataire qui conteste toute faute en affirmant être intervenu à chaque signalement devra néanmoins répondre de l’appréciation globale de son exécution, la cour ayant confirmé ici la résiliation malgré ses dénégations.
Documentez dès maintenant la chronologie, car elle fera la preuve. Relevez l’heure exacte de la mise en maintenance et de la remise en ligne, conservez les messages d’erreur, les échanges avec le support de l’hébergeur et de l’agence, les journaux de supervision et les constats de commissaire de justice si l’enjeu financier le justifie. Faites établir par écrit la version de PHP exploitée avant et après l’incident, par exemple au moyen de la commande de vérification de version recommandée pendant la crise, et archivez les bulletins de l’éditeur et l’alerte du CERT-FR avec leurs dates. Entre commerçants, les actes de commerce peuvent se prouver par tous moyens, à moins qu’il n’en soit autrement disposé par la loi (art. L. 110-3 du code de commerce), et celui qui réclame l’exécution d’une obligation doit la prouver, tandis que celui qui se prétend libéré doit justifier le fait qui a produit l’extinction de son obligation (art. 1353 du code civil). Un dossier horodaté, qui montre quand le correctif est devenu disponible et quand il a été appliqué sur votre site, vaut mieux qu’un long échange oral avec la hotline.
II. Que réclamer quand le site est resté en maintenance ?
A. Exiger, faire faire, suspendre puis résilier : l’échelle des sanctions
La loi offre une gradation que le contrat précise mais ne supprime pas. La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut refuser d’exécuter ou suspendre l’exécution de sa propre obligation, poursuivre l’exécution forcée en nature, obtenir une réduction du prix, provoquer la résolution du contrat ou demander réparation, et les sanctions qui ne sont pas incompatibles peuvent être cumulées, des dommages et intérêts pouvant toujours s’y ajouter (art. 1217 du code civil). En pratique, la première marche est la mise en demeure : décrivez précisément le manquement reproché, en visant la clause du contrat et l’échéance attendue, et laissez un délai raisonnable de régularisation. Cette lettre n’est pas une formalité de style : elle conditionne la plupart des sanctions suivantes et elle fixe le point de départ du retard indemnisable. Adressez-la aux deux prestataires si la répartition des rôles est incertaine, en demandant à chacun d’indiquer par écrit ce qui relève de lui.
Si le prestataire défaillant n’agit pas, vous pouvez faire exécuter vous-même l’obligation : après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation, et il peut demander au débiteur le remboursement des sommes engagées à cette fin (art. 1222 du code civil). C’est le fondement qui permet de faire appel en urgence à un prestataire de secours pour appliquer le correctif, restaurer le site et le remettre en ligne, puis d’en présenter la facture au défaillant. Restez dans le raisonnable : devis comparés, périmètre strictement limité à ce que le contrat du défaillant couvrait, information préalable du prestataire. Vous pouvez aussi suspendre le paiement des redevances d’hébergement ou de maintenance afférentes à la période d’indisponibilité, sur le fondement de l’exception d’inexécution, en le notifiant par écrit et en cantonnant la suspension aux sommes correspondant au service non fourni.
La résiliation suppose une inexécution suffisamment grave et le respect d’une procédure que les juges contrôlent. Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification ; sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable, la mise en demeure mentionnant expressément qu’à défaut le créancier sera en droit de résoudre le contrat, et le débiteur peut toujours saisir le juge pour contester la résolution, le créancier devant alors prouver la gravité de l’inexécution (art. 1226 du code civil). Une boutique restée inaccessible plusieurs jours en pleine période commerciale, malgré un correctif disponible et un contournement documenté par le CERT-FR, caractérise en général cette gravité, surtout si le prestataire n’a ni appliqué le correctif ni proposé de solution de repli. L’arrêt parisien du 9 mai 2025 illustre le contrôle exercé : le prestataire y soutenait avoir respecté son obligation en intervenant à chaque signalement et contestait la gravité des dysfonctionnements, la cour a néanmoins confirmé la résiliation prononcée par le tribunal. Suivez donc les modalités prévues par votre contrat, comme les tickets, les escalades et les délais de résolution, avant de notifier : un client qui n’a pas utilisé les canaux contractuels de signalement affaiblit sa propre démonstration.
Anticipez l’argument de la force majeure, que le prestataire opposeront presque systématiquement. Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur, et si l’empêchement est temporaire, l’exécution de l’obligation est suspendue (art. 1218 du code civil). Or l’alerte du CERT-FR publiait un correctif et des contournements applicables immédiatement, ce qui rend l’irrésistibilité difficile à soutenir pour toute la durée de l’indisponibilité. La cour d’appel de Douai a d’ailleurs rejeté la demande de l’hébergeur tendant à voir déclarer réunies les conditions contractuelles et légales de la force majeure, alors même que l’événement invoqué était l’incendie de son propre centre de données. Une cyberattaque extérieure peut certes constituer un cas de force majeure dans certaines configurations, mais seulement si ses trois critères sont réunis et prouvés par celui qui s’en prévaut ; un correctif publié le jour même et une mise hors ligne de précaution recommandée par les autorités pèsent lourd dans l’appréciation du juge.
B. Chiffrer la perte, faire payer, et traiter les données exposées
L’indemnisation suppose un manquement, un préjudice et un lien entre les deux, et le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure (art. 1231-1 du code civil). Chiffrez poste par poste : marge perdue sur les commandes non passées, comparée à la même période des semaines précédentes et de l’année précédente, frais de personnel mobilisé, honoraires du prestataire de secours, frais de communication de crise, avoirs consentis aux clients. Même en cas de faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution (art. 1231-4 du code civil) : les préjudices éloignés ou hypothétiques, comme la perte d’une levée de fonds ou d’un référencement futur, seront écartés, concentrez le chiffrage sur les flux constatés et les dépenses engagées.
Relisez ensuite les plafonds, car ils rabattent souvent l’addition. Dans l’affaire jugée à Douai, le préjudice indemnisable de la société cliente, arrêté au titre des coûts salariaux et de prestataires externes à la somme de 47 900 euros, n’était pas inférieur au plafond contractuel, et l’hébergeur a été condamné à payer la somme de 1 800,48 euros en application de la clause limitant sa responsabilité, la cour rejetant les demandes tendant à voir réputer non écrites les clauses de limitations ou d’évaluations forfaitaires de responsabilité. Retenez la méthode : activez d’abord les pénalités et crédits de service prévus par les engagements de niveau de service, qui constituent une indemnisation forfaitaire des préjudices résultant du non-respect de ces engagements, puis réclamez le surplus dans la limite du plafond, et déclarez le sinistre à votre assurance perte d’exploitation ou cyber, qui peut prendre le relais au-delà du plafond contractuel. Si le plafond vous paraît dérisoire au regard d’une obligation essentielle vidée de sa substance, faites-le examiner : la cour de Douai a validé les clauses qui lui étaient soumises, mais chaque contrat se juge sur ses propres stipulations et sur l’économie voulue par les parties.
Reste la question des données, car la faille permettait une exécution de code à distance et, selon l’agence américaine citée par BFM Tech, les attaquants pouvaient prendre le contrôle de serveurs et accéder aux données des organisations concernées. En droit interne, le responsable du traitement met en oeuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement européen et à la loi, tient un registre des activités de traitement et désigne un délégué à la protection des données dans les cas prévus par les textes (art. 57 de la loi du 6 janvier 1978). Le même texte dispose que « Le responsable de traitement notifie à la Commission nationale de l’informatique et des libertés et communique à la personne concernée toute violation de données à caractère personnel en application des articles 33 et 34 du règlement (UE) 2016/679 du 27 avril 2016. » (art. 58 de la loi du 6 janvier 1978). Faites donc auditer les journaux d’accès dès la remise en ligne : si l’exploitation de la faille a permis d’atteindre des données clients, la notification et l’information s’imposent selon les modalités et les délais de ces articles, et les manquements du prestataire qui ont rendu l’intrusion possible alimentent votre recours contre lui.
Conclusion
La faille PHP du 21 octobre 2026 a mis des centaines de sites en maintenance, mais elle n’a pas suspendu les contrats : à partir de la publication du correctif et de l’alerte du CERT-FR, chaque heure d’indisponibilité supplémentaire s’analyse au regard des obligations de votre hébergeur et de votre prestataire de maintenance. Relisez le périmètre de chacun, activez les garanties de temps de rétablissement et les pénalités, mettez en demeure par écrit, faites établir la chronologie et le chiffrage, et ne laissez pas les données éventuellement exposées sans examen. La jurisprudence récente montre que les juges appliquent les contrats à la lettre, rejettent la force majeure invoquée à la légère, et plafonnent l’indemnisation au montant convenu : c’est au moment de la crise, pièces en main, que se gagne le contentieux de l’après-panne. Seul le juge, saisi du contrat et des faits, tranchera en dernier ressort l’imputabilité des manquements et le montant de la réparation.