Selon l’alerte CERT-FR du 21 octobre 2026, actualisée le 22 octobre, les branches PHP 7.x font partie des systèmes affectés par les vulnérabilités rendues publiques cette semaine. Le bulletin rappelle la fin du support assuré par le projet pour ces branches et recommande une migration vers une version maintenue et corrigée. Lorsqu’une entreprise reçoit un devis après cette alerte, la correction d’une vulnérabilité, le changement de version et la réécriture d’une application doivent pourtant être distingués.
Au 26 octobre 2026, les bulletins officiels consultés ne constatent aucun accident, aucune intrusion ni aucun dommage sur l’installation d’un lecteur ou chez son prestataire déterminé. Aucune responsabilité individuelle n’est établie par cet article. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans tout contrat d’hébergement comparable et ne formulent aucun constat sur la situation d’un fournisseur nommé. Les contrats signés restent déterminants, sous réserve des règles impératives applicables ; seul le juge tranche un désaccord.
Pour une entreprise dont le site utilise encore cette ancienne branche, la question concrète est double : que faut-il sécuriser et que peut facturer le professionnel déjà rémunéré pour l’hébergement ou la maintenance ? La réponse suppose de séparer le périmètre technique, l’engagement commercial et les obligations relatives aux données personnelles. Cette analyse vise les relations entre professionnels soumises au droit français. Elle permet de demander un devis intelligible, de préserver les preuves et d’organiser une solution de sécurité pendant la discussion sur le prix.
I. Comment distinguer le correctif nécessaire de la migration facturable ?
A. Identifier la version réellement utilisée et la prestation déjà achetée
Le bulletin CERT-FR CERTFR-2026-ALE-014 identifie les vulnérabilités CVE-2026-109618 et CVE-2026-109619 et le risque d’exécution de code arbitraire à distance. Il vise notamment toutes les versions de la branche 7.x, ce qui inclut PHP 7.4. Pour les branches plus récentes qu’il recense, il indique les seuils corrigés : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Ce bulletin établit une situation technique et des recommandations de sécurité ; il ne règle pas le prix dû dans un contrat d’hébergement particulier.
L’information sur la fin du support ne décrit pas à elle seule l’offre commerciale souscrite par une entreprise. Il faut demander au fournisseur ce qu’il exploite réellement, ce qu’il propose de corriger et ce qui motive le changement d’environnement. Si une solution particulière de maintien temporaire est proposée, ses limites et sa provenance doivent pouvoir être expliquées. La question à poser n’est pas seulement de savoir si un site affiche encore ses pages, mais quelles mesures sont effectivement appliquées à l’installation qui les produit.
Une attestation générique de mise à jour mérite donc d’être précisée. Le professionnel peut décrire les équipements examinés, les opérations réalisées et les références des bulletins pris en compte. Si plusieurs prestataires se partagent l’application et son hébergement, chacun doit pouvoir identifier son propre périmètre d’intervention. Pour le client, l’objectif pratique est de disposer d’une réponse cohérente : une opération réalisée sur une machine ne décrit pas automatiquement l’état de toutes les installations nécessaires au fonctionnement du service.
Avant de discuter une facture, demandez un état écrit de l’installation qui traite les requêtes du site : branche du langage, provenance du paquet, éventuel correctif du distributeur, machines ou conteneurs concernés, personne qui administre chacun de ces éléments. Un numéro de version isolé ne permet pas toujours de comprendre si le fournisseur a intégré une correction à son propre paquet. Une réponse utile identifie la référence du paquet et le bulletin auquel l’intervenant se rapporte, plutôt qu’une simple formule de réassurance.
Cette photographie technique sert ensuite à relire le bon contrat. L’offre d’hébergement peut porter sur une plateforme administrée, sur la location d’une machine ou sur un ensemble comprenant l’exploitation du serveur. Le contrat de maintenance applicative peut couvrir le code du site sans inclure l’administration du système. Un contrat de support peut se limiter à des interventions demandées par le client. Aucun de ces intitulés, pris seul, ne suffit à attribuer la totalité des opérations au même prestataire.
Rassemblez le bon de commande, les conditions particulières, la version des conditions générales acceptée et les avenants. Recherchez les clauses relatives aux mises à jour de sécurité, à la maintenance corrective, aux changements majeurs de version et aux logiciels dont le support prend fin. Vérifiez aussi la répartition des tâches entre l’hébergeur, l’agence et l’entreprise cliente. L’article 1103 du Code civil pose le point de départ de cette lecture : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. »
Les données traitées donnent enfin une autre dimension au dossier. Une boutique conserve potentiellement des coordonnées de clients ; un portail professionnel peut contenir des identifiants ou des documents relatifs à des personnes physiques. Identifiez concrètement l’entreprise qui utilise ces données, le fournisseur qui les héberge et l’intervenant autorisé à administrer le site. Rapprochez leurs tâches des annexes contractuelles relatives à la sécurité et aux données personnelles. Cette cartographie permet notamment de savoir à qui demander une modification, une explication ou un compte rendu, sans attribuer toutes les opérations à celui dont le nom figure sur la facture d’hébergement.
B. Exiger une distinction entre maintenance corrective et travaux supplémentaires
Une migration peut comprendre plusieurs opérations : modifier l’environnement d’exécution, adapter des dépendances, reprendre du code devenu incompatible, vérifier les fonctionnalités ou déplacer le site vers une autre infrastructure. Le devis devrait permettre de comprendre lesquelles sont nécessaires et lesquelles constituent une amélioration supplémentaire. La présence d’une alerte de sécurité n’établit, à elle seule, ni que tout est déjà compris dans le forfait, ni qu’un nouveau prix est automatiquement dû.
Le premier poste à isoler est la correction de sécurité dans le périmètre existant. Si le contrat prévoit expressément la maintenance corrective de l’environnement exploité, la question sera de savoir si l’opération demandée correspond à cette obligation. Si le contrat exclut les changements majeurs de version, il faut encore vérifier ce que recouvre concrètement la prestation proposée : une opération de maintenance et une migration complète ne doivent pas être confondues sur la seule base de leur présentation commerciale. Cette comparaison applique le périmètre convenu ; elle ne crée pas une obligation universelle de réaliser toute évolution technique au prix initial.
Le deuxième poste concerne l’adaptation de l’application. Si le prestataire annonce des reprises de composants ou de code, demandez quels éléments sont concernés, pourquoi ils le sont et si ces travaux appartiennent au contrat de maintenance applicative. Un chiffrage intelligible distingue l’analyse préalable, les modifications envisagées, les vérifications et la mise en service. Il peut aussi signaler les points qui nécessitent l’intervention d’un autre fournisseur. Ces précisions permettent de comparer les propositions sur un périmètre similaire, plutôt que de rapprocher deux montants correspondant à des travaux différents.
Le troisième poste est celui des prestations nouvelles : refonte graphique, ajout de fonctionnalités, changement d’architecture ou renforcement supplémentaire de l’infrastructure. Ces travaux peuvent être utiles sans être tous indispensables à la correction étudiée. Leur présentation séparée permet de décider en connaissance de cause. Un devis global qui mélange remise en sécurité, modernisation et nouveaux services rend la discussion plus difficile, autant pour le client que pour le professionnel qui doit expliquer son chiffrage.
Pour modifier l’engagement initial, l’article 1193 du Code civil prévoit : « Les contrats ne peuvent être modifiés ou révoqués que du consentement mutuel des parties, ou pour les causes que la loi autorise. » Une clause de révision déjà acceptée doit être examinée avec son champ et ses conditions d’application. L’alerte technique ne remplace pas cette analyse. Il faut aussi distinguer une offre supplémentaire que le client peut accepter d’une mesure que le prestataire estime déjà pouvoir appliquer en vertu du contrat.
Un jugement du tribunal des activités économiques de Nanterre du 22 octobre 2025, n° 2023F02360, illustre l’importance de cette distinction probatoire. Dans un litige consécutif à une attaque informatique, le tribunal a rejeté une demande de paiement de prestations supplémentaires hors des heures d’assistance : le contrat prévoyait la validation d’un devis et aucun devis accepté n’était produit pour ces interventions. Dans le même dossier, il a retenu qu’un solde de prestation de restauration restait dû, au vu du devis, de l’accord et des opérations de paiement. Ce jugement de première instance concerne ses propres stipulations et preuves ; il ne fixe aucun tarif de migration.
La discussion doit enfin rester loyale. L’article 1104 du Code civil impose la bonne foi dans la négociation, la formation et l’exécution du contrat. En pratique, demandez les raisons techniques du choix proposé et les alternatives réellement disponibles. Conservez aussi les éléments favorables au prestataire : information préalable sur la fin du support, proposition de migration antérieure, intervention conservatoire ou refus documenté du client. Ils peuvent éclairer la répartition des décisions sans préjuger une responsabilité.
II. Comment sécuriser les données et traiter le désaccord sur la facture ?
A. Maintenir une sécurité adaptée pendant la discussion commerciale
Le désaccord sur le prix et l’analyse de la sécurité suivent deux raisonnements différents. Dans sa décision du 26 avril 2022, n° 449284, point 4, le Conseil d’État rappelle les obligations résultant de l’article 32 du RGPD pour le responsable du traitement et le sous-traitant : mesures techniques et organisationnelles appropriées au risque, confidentialité, intégrité, disponibilité, résilience et procédure d’évaluation régulière de l’efficacité des mesures. Cette exigence est présentée par le juge dans son analyse de la protection des données, indépendamment d’une discussion sur la facturation de travaux.
Ces obligations de sécurité ne désignent pas, entre les parties au contrat, celui qui doit supporter chaque ligne d’un devis. Inversement, une prestation commerciale discutée ne dispense pas d’examiner la protection des données effectivement traitées. Il faut donc demander au professionnel une proposition de sécurisation explicite tout en réservant, si nécessaire, la question de son rattachement au forfait ou à une commande distincte. La démarche distingue ainsi les mesures à examiner au regard du traitement et l’analyse de leur prix à partir des engagements contractuels.
L’annexe relative aux données personnelles doit donc être rapprochée du contrat d’hébergement. Recherchez-y les mesures annoncées, les interlocuteurs et les modalités de suivi convenues. Si un compte rendu périodique ou un contrôle de l’installation est prévu, demandez les documents correspondants et leur périmètre. Si les pièces ne décrivent pas ce suivi, identifiez les précisions à négocier. L’article 1103 du Code civil permet de rattacher la demande aux engagements pris ; il ne transforme pas une annexe de sécurité en commande de refonte illimitée du site.
L’entreprise cliente a également intérêt à garder la trace de ses propres décisions. Un échange mentionnant seulement que la sécurité a été confiée à un prestataire ne décrit ni le contrôle réalisé ni les actions retenues. Un compte rendu peut au contraire identifier le périmètre vérifié, les réserves techniques et la personne chargée de suivre chaque opération. Conservez les propositions reçues et les choix effectués, y compris lorsqu’une opération a été différée pour une raison technique ou commerciale. Le dossier doit permettre de comprendre les décisions de chacun sans les reconstruire après coup.
Sur ce point, le Conseil d’État, dans sa décision du 26 avril 2022, n° 449284, notamment aux points 4 et 5, a retenu, dans le dossier qui lui était soumis, l’absence de contrôle régulier des mesures du sous-traitant et l’absence de document justifiant la mise à jour régulière des composants logiciels. Cette décision ne juge pas un différend actuel de migration : elle montre l’importance, dans l’appréciation de la sécurité d’un traitement, des vérifications et de leur documentation. La seule externalisation de l’hébergement ne décrit pas ces diligences.
Les autorités publient aussi des conseils techniques qu’il faut distinguer d’un texte imposant un prix ou une méthode unique. La fiche de la CNIL consacrée à la sécurisation des postes de travail, datée du 14 mars 2024, recommande notamment le déploiement des mises à jour de sécurité et déconseille l’usage de systèmes dont le support n’est plus assuré. Son objet est le poste de travail, pas la tarification de l’hébergement. Le guide du Comité européen de la protection des données consacré à la sécurité propose également une démarche d’identification des risques et d’adaptation des mesures au contexte.
Pour les installations visées par l’alerte actuelle, le CERT-FR, dans son bulletin CERTFR-2026-ALE-014 actualisé le 22 octobre 2026, recommande l’isolement des équipements affectés puis la migration vers une version maintenue et corrigée. Le fournisseur peut donc avoir des raisons techniques légitimes de proposer une évolution durable. Il faut pouvoir examiner son explication propre à l’environnement concerné, les opérations qu’il propose et les vérifications prévues. L’appréciation du besoin de sécurité et celle du rattachement des travaux à un prix contractuel doivent rester identifiables dans cet échange.
Enfin, l’alerte générale ne constitue pas une expertise de l’installation du lecteur. Le bulletin CERT-FR décrit des systèmes affectés et des risques ; il n’atteste pas qu’un fournisseur particulier aurait subi une intrusion ou perdu les données d’un client. Lorsqu’un courrier commercial évoque un incident, demandez quels faits ont été constatés et quels éléments peuvent être communiqués. Distinguez ces informations de l’explication du devis. Un litige sur le prix ne doit pas conduire à présenter comme établi un événement qui n’a pas été documenté.
B. Demander les justificatifs utiles et choisir une réponse proportionnée
Une contestation utile commence par une demande suffisamment précise pour que l’autre partie puisse y répondre. Présentez séparément les trois sujets : état de sécurité actuel, prestations promises dans le contrat, travaux et prix proposés. Demandez au fournisseur d’indiquer la clause sur laquelle il s’appuie, les opérations déjà réalisées, celles qui restent à commander et les éléments qui expliquent le chiffrage. Cette méthode permet aussi de repérer un simple malentendu, par exemple lorsqu’un devis comprend de la reprise applicative alors que le client pense acheter uniquement une correction du serveur.
Le dossier peut être organisé autour de cinq ensembles de pièces :
- Le périmètre accepté : commande, contrats, annexes de sécurité et conditions générales dans leur version pertinente, avec les clauses relatives au support et aux changements de version.
- L’état technique documenté : environnement réellement utilisé par le site, référence des paquets, provenance des correctifs et description des composants concernés.
- La chronologie des échanges : alertes reçues, propositions antérieures, décisions du client, demandes d’intervention et réponses du professionnel, conservées avec leurs dates.
- Le détail financier : devis ventilé, prix déjà compris dans les redevances, prestations nouvelles, acceptations et factures, sans confondre budget prévisionnel et coût effectivement exposé.
- Les vérifications de remise en service : compte rendu d’intervention, fonctionnalités testées et réserves éventuelles, afin de savoir ce que la prestation a réellement permis de vérifier.
Cette préparation répond à la logique de l’article 1353 du Code civil : celui qui réclame l’exécution d’une obligation doit la prouver ; celui qui se prétend libéré doit justifier le paiement ou le fait ayant éteint son obligation. Le client doit donc documenter le contenu de l’engagement qu’il invoque. Le professionnel qui demande le règlement d’un supplément doit, de son côté, pouvoir expliquer le fondement de sa créance. La seule présence d’un devis dans une messagerie ne résout pas toutes les questions relatives à son acceptation.
Pour comparer les propositions, établissez une correspondance entre chaque poste et sa justification. Une ligne relative à l’administration du serveur renvoie au contrat qui organise cette administration. Une ligne de reprise applicative appelle une description des composants à modifier. Une ligne de vérification doit préciser les fonctionnalités examinées et le livrable attendu. Cette présentation permet de demander pourquoi une même opération apparaît dans le forfait existant et dans le nouveau devis, ou de constater qu’il s’agit en réalité de tâches différentes. Elle protège aussi le prestataire contre une attente implicite que son offre ne contient pas.
Le choix d’une solution temporaire mérite la même précision. Demandez ce qui est effectivement pris en charge, quelles opérations restent envisagées et quels événements conduiraient à revoir la proposition. Une offre de maintien provisoire ne doit pas être comprise comme un engagement permanent si les documents ne le prévoient pas. À l’inverse, une offre de migration durable gagne à préciser les éléments repris, les éléments exclus et la personne qui conservera les moyens d’administration après l’intervention. Ces questions servent à définir la commande ; elles ne déterminent pas à l’avance l’issue d’un contentieux.
Si une obligation promise semble inexécutée, l’article 1217 du Code civil énumère plusieurs réponses possibles : exécution en nature, réduction du prix, résolution, réparation, ou refus et suspension de sa propre obligation. Chaque mesure obéit à ses conditions ; cette énumération n’autorise pas à cesser indistinctement tous les paiements parce qu’un devis supplémentaire est contesté. Il faut notamment distinguer les sommes correspondant à des services fournis de celles dont le fondement ou l’exécution reste discuté. Une réaction globale peut créer un second différend sans sécuriser le site.
Pour poursuivre l’exécution en nature, l’article 1221 du Code civil prévoit une mise en demeure préalable et réserve le cas de l’impossibilité ou d’une disproportion manifeste entre le coût pour le débiteur de bonne foi et l’intérêt pour le créancier. La demande devrait donc identifier l’obligation précise et la prestation attendue. Exiger l’exécution de la maintenance contractuelle n’est pas la même chose qu’exiger un développement entièrement nouveau. L’appréciation suppose le contrat, la faisabilité technique et les échanges conservés.
Si l’entreprise envisage une demande indemnitaire, l’article 1231-1 du Code civil encadre la réparation d’une inexécution ou d’un retard et réserve l’hypothèse où la force majeure a empêché l’exécution. Une facture de migration ne constitue pas, à elle seule, la preuve d’un préjudice imputable au prestataire. Il faut expliquer quelle obligation aurait été méconnue, quelle dépense ou perte en résulterait et quels éléments relient les deux. Les travaux qui auraient de toute façon été nécessaires pour moderniser une application ne doivent pas être indistinctement présentés comme les conséquences d’un manquement allégué.
La décision opérationnelle doit pouvoir être prise sans attendre que toute la discussion financière soit résolue. Il peut être utile de demander deux propositions écrites : l’une décrivant les mesures conservatoires effectivement réalisables, l’autre les travaux de migration avec leurs critères d’acceptation. Si une intervention est autorisée, préciser ce qui est commandé, son prix ou sa méthode de calcul et les éventuelles réserves sur le périmètre contractuel évite une ambiguïté supplémentaire. Un autre intervenant peut aussi être consulté pour comparer les solutions, avec des accès organisés et limités aux besoins de sa mission.
Les critères d’acceptation peuvent rester très concrets : accès aux comptes, fonctionnement des formulaires, consultation des documents, commandes ou traitements nécessaires à l’activité. Le client peut indiquer les fonctionnalités qu’il entend retrouver et demander que les résultats soient consignés. Si des anomalies existaient déjà, les identifier avant l’intervention aide à distinguer ce qui relève de la migration de ce qui appelle une autre commande. Cette préparation ne garantit pas l’absence d’incident ; elle rend plus lisible le contenu de la prestation et les vérifications réalisées, dans la démarche documentaire illustrée par le jugement de Nanterre du 22 octobre 2025.
Pour cadrer la répartition initiale entre administration du serveur et maintenance du site, notre analyse du contrat d’hébergement face à une correction de sécurité complète cette méthode. La présente question porte plus précisément sur le coût d’un changement de branche et sur la preuve de son rattachement au forfait ou à une nouvelle commande. Le bon résultat pratique est un accord lisible sur la sécurité, les tâches et le prix, plutôt qu’une formule générale attribuant tous les travaux à une seule partie.
Conclusion
Un ancien environnement technique appelle une réponse documentée. Une alerte de sécurité permet d’interroger utilement la solution proposée ; elle ne permet pas de déduire le prix dû entre deux cocontractants. Le contrat, ses annexes, les opérations réellement nécessaires et les preuves d’acceptation restent les éléments essentiels pour distinguer maintenance incluse et prestation supplémentaire.
La démarche consiste à obtenir un état de sécurité vérifiable, un devis ventilé et une répartition explicite des tâches. En présence de données personnelles, les obligations de sécurité et de suivi du traitement continuent d’être examinées pendant cette discussion commerciale. Toute demande d’exécution ou de réparation doit ensuite rester rattachée à une obligation et à des faits établis, selon les textes présentés dans l’article.
Les bulletins cités ne constatent aucun accident, aucune intrusion ni aucun dommage sur l’installation particulière du lecteur et n’établissent aucune responsabilité individuelle. Cette analyse générale ne remplace pas les contrats signés ni l’examen des pièces ; seul le juge peut trancher une contestation.