Le 21 octobre 2026, les développeurs de la fondation PHP ont annoncé avoir identifié deux vulnérabilités jugées critiques et ont exhorté les utilisateurs à installer la mise à jour dès sa parution, après avoir gardé le secret deux mois durant le temps de préparer un correctif, selon les informations rapportées par Le Figaro le 21 octobre 2026. La faille, surnommée PHP2Shell et référencée CVE-2026-109618 et CVE-2026-109619, permet d’exécuter du code à distance sur un serveur, puis de prendre le contrôle du serveur, de voler des données, d’y installer des logiciels malveillants cachés ou de récupérer les comptes associés au site exposé. L’Agence nationale de la sécurité des systèmes d’information a recensé plus de 600 000 serveurs PHP sur l’Internet français, et un expert cité par le même journal estime qu’autour de 70 % des sites internet en France étaient exposés. L’ANSSI recommandait encore mercredi soir de maintenir hors ligne les serveurs concernés jusqu’à l’installation de la mise à jour corrective, tandis que le ministère de l’Intérieur confirmait la mise en maintenance préventive de ses sites, dont celui des impôts, à la demande de l’agence. Les Echos précisent, dans leur édition du 21 octobre 2026, qu’un correctif a été publié mais que de nombreux sites restent en maintenance préventive, notamment en France.
Pour l’entreprise abonnée à un logiciel en ligne, un SaaS de facturation, un outil de paie, une plateforme de réservation ou un extranet client, la conséquence est immédiate et sonne comme une sanction sans faute de sa part : écran « site en maintenance », collaborateurs à l’arrêt, commandes qui ne passent plus, échéances qui glissent. Face à l’éditeur ou au prestataire qui invoque la faille mondiale pour justifier la coupure, l’abonné dispose pourtant d’un arsenal contractuel précis, à condition de l’activer dans l’ordre et de prouver son préjudice au lieu de l’affirmer. La première partie décrit comment contraindre l’éditeur à remettre le service en route sans payer deux fois le prix de la crise. La seconde explique comment chiffrer la perte, contourner le plafond du contrat et verrouiller le volet des données clients.
I. Contraindre votre éditeur à remettre le service en route sans payer deux fois
Le réflexe de l’abonné privé de son outil consiste à téléphoner au support, à patienter, puis à payer quand même la redevance mensuelle en espérant un geste. Cette attitude fait perdre deux leviers : la suspension légale du prix pendant l’inexécution et la mise en demeure qui conditionne la résolution. Le contrat d’abonnement reste un contrat, et la faille mondiale ne suspend pas son économie par magie.
A. Mise en demeure, exécution forcée et crédits de service : l’arsenal du contrat
L’article 1217 du Code civil ouvre à la partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, une palette de sanctions cumulables : « peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution », étant précisé que « Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. ». Concrètement, l’abonné dont le SaaS est à l’arrêt peut exiger la remise en service, suspendre le paiement de la redevance et réclamer des dommages-intérêts pour la même période, au lieu de choisir une seule voie.
La suspension du prix suppose toutefois une inexécution suffisamment grave, car l’article 1219 du Code civil dispose : « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave. » Une indisponibilité totale de l’outil de production pendant plusieurs jours ouvrés remplit ce critère sans discussion sérieuse, alors qu’un simple ralentissement ou une coupure de quelques heures appelle davantage la réduction de prix que la suspension totale. La notification à l’éditeur gagne à être écrite, datée, chiffrée en heures d’arrêt et adressée en recommandé avec accusé de réception ou par tout moyen conférant date certaine, parce que chaque heure compte ensuite pour les crédits de service.
Les contrats SaaS sérieux stipulent un taux de disponibilité et des crédits de service, c’est-à-dire des avoirs automatiques proportionnés à la durée d’indisponibilité. Ces clauses ne s’appliquent presque jamais d’elles-mêmes : elles exigent une réclamation dans un délai court après le retour du service, parfois dix ou trente jours, avec les relevés d’indisponibilité. L’abonné doit donc archiver dès la coupure les captures d’écran datées, les messages d’erreur, les tickets de support et les journaux de connexion, puis réclamer l’avoir par écrit en visant la clause. À défaut de clause de disponibilité, la réduction du prix de l’article 1217 joue le même rôle et se négocie au prorata de la période sans service.
Quand l’arrêt s’éternise au-delà du raisonnable, l’article 1224 du Code civil rappelle que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. ». La voie la plus rapide reste la résolution unilatérale par notification, encadrée par l’article 1226 du Code civil : « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. Lorsque l’inexécution persiste, le créancier notifie au débiteur la résolution du contrat et les raisons qui la motivent. » La formule se traduit en pratique par deux courriers : une mise en demeure qui fixe un délai précis de rétablissement et annonce la résolution, puis, si le service ne repart pas, la notification de résolution avec ses motifs. L’article ajoute que « Le débiteur peut à tout moment saisir le juge pour contester la résolution. » et que « Le créancier doit alors prouver la gravité de l’inexécution. », ce qui renvoie à la qualité des preuves rassemblées dès le premier jour. Avant de résilier, l’abonné vérifie la clause de réversibilité et d’extraction des données, car quitter un SaaS sans récupérer ses jeux de données remplace une crise par une autre. Le rappel des droits de l’abonné face à un éditeur qui coupe l’accès ou résilie détaille cette sortie : récupération des données, réversibilité et réparation.
B. La faille ne vaut pas force majeure automatique : ce que l’hébergeur doit prouver
L’éditeur ou l’hébergeur invoque presque systématiquement la force majeure : faille mondiale, imprévisible, irrésistible, maintenance imposée par l’ANSSI. L’article 1218 du Code civil donne la définition légale : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Trois conditions cumulatives en résultent : un événement échappant au contrôle du débiteur, une imprévisibilité raisonnable au jour du contrat et des effets inévitables malgré des mesures appropriées. Si l’empêchement n’est que temporaire, ajoute le texte, « l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat ». La maintenance préventive entre donc, au mieux, dans la suspension temporaire, jamais dans l’effacement pur et simple de toute responsabilité et de toute contrepartie.
La jurisprudence récente applique ce filtre avec sévérité aux professionnels de l’hébergement. Dans l’affaire de l’incendie d’un datacentre, la cour d’appel de Douai, chambre 2 section 2, dans son arrêt du 4 juin 2026 (n° RG 24/00967), a rejeté la demande de la société OVH tendant à voir déclarer réunies les conditions de la force majeure, en retenant que l’incendie « ne constitue pas un cas de force majeure puisque celui-ci n’était ni extérieur, ni imprévisible, ni irrésistible ». La cour a relevé l’absence d’un système d’extinction automatique, pourtant prérequis minimal dans un lieu de stockage de serveurs, un rapport du bureau Véritas qui avait déjà signalé le manquement, et des antécédents d’incidents électriques, pour conclure que l’événement n’était pas un événement « échappant au contrôle du débiteur ». L’enseignement vaut pour la faille PHP : un professionnel dont le métier consiste à maintenir des serveurs à jour ne peut se retrancher derrière le caractère mondial de la vulnérabilité lorsque le correctif existe, que l’ANSSI recommande publiquement la mise hors ligne jusqu’à la mise à jour et que des attaques sont déjà observées par les grands opérateurs de réseau. La question posée au juge sera celle des mesures appropriées : date d’application du correctif, segmentation des serveurs, sauvegardes isolées, plan de continuité. L’abonné a donc intérêt à demander par écrit le journal des opérations de correction, avec les dates et heures, plutôt qu’à accepter une attestation vague d’efforts.
Deux précisions encadrent ce débat. D’abord, le maintien préventif hors ligne recommandé par l’ANSSI protège les systèmes et leurs données, et l’abonné ne peut reprocher à son prestataire d’avoir coupé l’accès pour éviter le piratage ; le grief porte sur la durée de l’arrêt, sur l’absence de solution de repli et sur le défaut d’information, pas sur la prudence initiale. Ensuite, la suspension pour force majeure temporaire ne dispense pas le prestataire de reprendre l’exécution dès que l’obstacle cesse, et le retard qui en résulte peut justifier la résolution dans les conditions de l’article 1218. En pratique, l’abonné fixe par écrit la date à laquelle le correctif était disponible, la date de remise en service effective et les solutions transitoires proposées, puis compare ce calendrier aux engagements de délai de rétablissement du contrat.
II. Chiffrer votre préjudice et verrouiller la suite, données clients comprises
Obtenir le redémarrage ne paie pas les jours perdus. La seconde bataille se joue sur les chiffres : marge perdue, heures supplémentaires, commandes annulées, pénalités versées aux propres clients de l’abonné. Les contrats informatiques plafonnent presque toujours la réparation, et les juges appliquent ces plafonds quand ils sont valablement acceptés. La victoire appartient à l’abonné qui prouve par pièces, qui lit ses clauses avant de les subir et qui traite le volet des données personnelles dans les délais légaux.
A. Prouver la perte d’exploitation et contourner le plafond du contrat
L’article 1231-1 du Code civil pose le principe : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le droit à réparation existe donc dès lors que la force majeure est écartée, mais son montant se limite au préjudice prouvé. L’article 1231-4 du Code civil ajoute une borne souvent oubliée : « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » Seules les conséquences directes de l’arrêt comptent : la marge sur les ventes empêchées pendant la coupure, le coût des heures de reprise, les frais de solution transitoire. Les projections de croissance manquée ou la perte de valeur de l’entreprise restent en dehors du périmètre, sauf démonstration rigoureuse.
La charge de la preuve pèse sur le demandeur, car l’article 1353 du Code civil dispose : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » La cour d’appel de Reims, chambre civile et commerciale, dans son arrêt du 28 avril 2026 (n° RG 24/01502), illustre cette exigence dans un litige informatique après une attaque par rançongiciel : la société cliente a justifié sa perte d’exploitation « par la production d’une attestation d’un expert comptable » chiffrant la perte sur la période d’arrêt, et la cour a retenu cette pièce pour allouer une partie de la somme au titre de la perte d’exploitation, aux côtés du coût de remise en état, du paramétrage et du montant de la rançon versée. La méthode s’applique à l’arrêt pour maintenance forcée : attestation de l’expert-comptable comparant la période d’arrêt à une période de référence, factures des prestations de reprise, relevés des commandes perdues, constats et journaux de logs. À Paris, le constat dressé par un commissaire de justice dans les locaux de l’entreprise, avec captures horodatées et relevés de tickets, fige la durée et l’étendue de l’indisponibilité avant que les journaux ne soient écrasés par rotation.
Le plafond contractuel constitue l’obstacle suivant. Dans l’affaire opposant deux sociétés d’hébergement, la cour d’appel de Versailles, 12e chambre, dans son arrêt du 19 mai 2022 (n° RG 20/05106), a validé la clause des conditions générales selon laquelle la responsabilité du prestataire « ne pourra excéder, tous sinistres confondus, le montant égal aux sommes payées par le client », avec exclusion des préjudices suivants : « ne sera pas responsable des dommages indirects tels que notamment, la perte de notoriété, la perte de revenus, d’activités, de clientèle, d’économies prévues ou de profits ». La cour a jugé qu’il n’y avait donc pas lieu de réputer non écrite la clause limitative de responsabilité des conditions générales, après avoir constaté que le contrat prévoyait une disponibilité de 99,5 % et que l’incident restait envisagé par les parties. Le prestataire, déclaré responsable de l’incident du 28 juin 2017 affectant l’hébergement des données, n’a été condamné qu’à 8 497,20 euros, somme correspondant à trois mois de prestations. L’abonné SaaS doit en tirer trois réflexes : vérifier avant tout litige si le plafond a été valablement accepté et signé, car des conditions générales non jointes au devis accepté et non signées restent inopposables, comme l’a jugé la cour d’appel de Reims dans l’arrêt précité en écartant la clause de limite de responsabilité pour ce motif, en retenant qu’« Elles lui sont donc inopposables » ; contester, le cas échéant, la clause qui viderait l’obligation essentielle de sa substance, tout en sachant que les juges valident le plafond dès lors que la disponibilité chiffrée demeure l’obligation et que l’incident reste envisagé ; et orienter la réclamation vers les préjudices directs couverts plutôt que vers les gains manqués exclus.
Un dernier arrêt éclaire la frontière entre la faute simple, qui laisse jouer le plafond, et la faute lourde, qui peut l’écarter. La cour d’appel de Paris, pôle 5 chambre 5, dans son arrêt du 27 novembre 2025 (n° RG 24/14708), a jugé à propos d’une clause obligeant le prestataire à corriger ses erreurs que « Cette mention qui oblige le prestataire à rectifier ses erreurs ou omissions n’est pas de nature à exclure sa responsabilité en cas de faute commise et donc de vider de sa substance l’obligation essentielle », puis a retenu que l’erreur de paramétrage commise constituait une faute contractuelle sans pour autant caractériser une faute lourde, faute dont elle a dit qu’elle « ne peut être qualifiée de faute lourde excluant l’application de la clause d’indemnisation prévue à l’article 7.2 du contrat ». Le prestataire fautif a donc été condamné, mais dans la limite du plafond, pour un montant de 29 783,59 euros. Pour l’abonné du SaaS en maintenance, la leçon est nette : établir la faute du prestataire, par exemple un correctif disponible non appliqué pendant des semaines ou une absence de sauvegarde isolée, ouvre la réparation, mais seul un comportement d’une extrême gravité écarte le plafond. La demande se construit en deux étages, la faute et son chiffrage direct d’abord, la contestation du plafond ensuite, jamais l’inverse.
B. Données exposées : notification CNIL à soixante-douze heures, plainte et recours en chaîne
La maintenance préventive ne signifie pas que les données sont restées intactes. Les spécialistes cités par la presse relèvent que des assaillants cherchaient déjà à exploiter la faille et qu’un grand opérateur de réseau observait l’émergence des premières attaques. Si des données de clients, de salariés ou de prospects ont été consultées, exfiltrées ou altérées pendant la fenêtre d’exposition, l’entreprise exploitant le site ou le SaaS devient responsable de traitement confrontée à ses propres obligations, indépendamment des torts de son éditeur.
La Commission nationale de l’informatique et des libertés indique sur sa page officielle que la violation doit lui être notifiée dans les meilleurs délais et au plus tard sous soixante-douze heures au moyen de son téléservice dédié, et que tout dépassement de ce délai doit être expliqué dans la notification avec ses motifs. Le délai court à partir de la prise de connaissance de la violation, et l’entreprise doit donc consigner par écrit la date et l’heure auxquelles elle a appris l’exposition, demander à son éditeur et à son hébergeur les journaux d’accès de la période et qualifier les catégories de données concernées ainsi que le nombre approximatif de personnes touchées. Lorsque le risque pour les droits des personnes est élevé, l’information des personnes concernées s’ajoute à la notification, dans un langage clair décrivant la nature de l’incident, les mesures prises et les précautions recommandées. L’omission ou le retard de notification expose à des mesures correctrices de la CNIL et affaiblit toute action ultérieure contre le prestataire, car le juge y lira une part de négligence de l’exploitant lui-même.
Le volet pénal accompagne le volet administratif dès lors qu’une intrusion est avérée. L’article 323-1 du Code pénal punit : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. », avec des peines aggravées en cas de suppression ou de modification de données. L’article 323-3 du Code pénal vise pour sa part : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Le dépôt de plainte, avec constitution de partie civile quand le préjudice est chiffrable, fige la réalité de l’attaque, ouvre l’enquête technique et préserve les recours civils. Il s’effectue avec les pièces déjà rassemblées : journaux, constats, échanges avec l’éditeur, chiffrage comptable.
Le recours en chaîne remonte ensuite vers les professionnels. L’agence web qui n’a pas appliqué le correctif, l’hébergeur qui n’a pas segmenté les serveurs, l’éditeur qui a livré un produit vulnérable sans alerte : chacun répond de sa propre faute, et les partages de responsabilité se règlent entre eux sans exonérer l’abonné. La cour d’appel de Reims, dans l’arrêt du 28 avril 2026 déjà cité, a ainsi jugé « que la société 3 services informatiques est responsable à hauteur de 50 % des dommages subis par la société MISA », en retenant à la fois les manquements du prestataire, qui n’avait pas évalué les besoins ni livré une installation sécurisée, et ceux du client, qui n’avait pas défini ses besoins dans un cahier des charges, l’expert proposant « un partage par moitié des responsabilités entre les deux sociétés ». L’entreprise abonnée préserve sa part en documentant ses propres diligences : mises à jour demandées, sauvegardes externalisées, tests de restauration, relances écrites du prestataire. Enfin, les obligations nées du commerce entre commerçants « se prescrivent par cinq ans », selon l’article L110-4 du Code de commerce, ce qui laisse le temps de consolider le dossier sans pour autant justifier l’attentisme : les journaux techniques s’effacent, les témoins oublient et les clauses de réclamation rapide des SLA continuent de courir pendant ce temps.
Conclusion
La faille PHP2Shell du 21 octobre 2026, avec ses deux vulnérabilités critiques, son correctif à appliquer sans délai et ses sites placés en maintenance préventive à la demande de l’ANSSI, place l’entreprise abonnée devant un choix simple : subir l’arrêt en payant plein tarif ou activer son contrat. La mise en demeure écrite, la suspension du prix pour inexécution suffisamment grave, les crédits de service réclamés dans les délais du contrat et, si l’arrêt persiste, la résolution notifiée dans les formes de l’article 1226 remettent l’éditeur face à ses engagements. La force majeure ne l’en décharge que s’il prouve un événement échappant à son contrôle, imprévisible et inévitable malgré des mesures appropriées, preuve que les juges examinent de près, comme l’a montré le rejet opposé à l’hébergeur après l’incendie de son datacentre. Le préjudice se paie au prix de la preuve : attestation d’expert-comptable, constats, journaux et factures de reprise, dans la limite des préjudices directs et des plafonds valablement acceptés. Et si les données ont fui, la notification à la CNIL dans les soixante-douze heures, la plainte pénale et le recours contre la chaîne des prestataires ferment le dispositif. L’entreprise qui écrit, date, chiffre et notifie traverse la crise en créancier ; celle qui attend en spectateur la traverse en débiteur.