Alertes critiques Cybersécurité Sensibilisation TPE/PME

Panne Orange, failles PHP : les incidents numériques d’octobre 2026

Failles critiques PHP, panne nationale Orange, sites publics temporairement fermés : SERVIPRA décrypte les événements d'octobre 2026 et les mesures utiles aux TPE et PME.

Publié par SERVIPRA le 22/10/2026 Source : PHP / CERT-FR / Orange – sources officielles

Deux failles critiques dans PHP, une panne d’ampleur nationale chez Orange, des sites publics interrompus par précaution… Le 21 octobre 2026, plusieurs événements ont rappelé la dépendance des entreprises à leurs services numériques. SERVIPRA revient sur les faits établis et sur les mesures réellement utiles pour les TPE et PME.

Point de situation au 22 octobre 2026 — vigilance élevée pour les serveurs PHP non corrigés.

Les correctifs PHP sont publiés. Orange a annoncé le rétablissement de ses services mobiles. La fermeture préventive de certains sites publics était une réponse à l’alerte PHP, pas la preuve d’un piratage. Aucun lien entre la panne Orange et les failles PHP n’est établi.

1. Failles critiques PHP : les serveurs Web sont concernés

Le 21 octobre 2026, les développeurs de PHP ont publié des mises à jour corrigeant deux vulnérabilités critiques : CVE-2026-109618 et CVE-2026-109619. Elles peuvent, dans certaines conditions, permettre une exécution de code à distance sans authentification. Leur gravité a été évaluée à 9,2/10 (CVSS v4.0) par le projet PHP.

PHP est notamment utilisé par WordPress et de nombreuses applications Web. Un site WordPress parfaitement à jour peut donc rester exposé si le moteur PHP exécuté par son hébergement est vulnérable. Cela ne signifie pas que tous les sites PHP ont été compromis.

Versions correctives annoncées par PHP :

PHP 8.2.35 pour la branche 8.2 ;
PHP 8.3.36 pour la branche 8.3 ;
PHP 8.4.27 pour la branche 8.4 ;
PHP 8.5.12 pour la branche 8.5.

Les branches PHP 8.1 et antérieures ne bénéficient plus des mises à jour ordinaires du projet PHP. Certains hébergeurs et distributeurs peuvent fournir des correctifs rétroportés : il faut vérifier leur politique effective plutôt que se fier uniquement à un numéro de version.

La bonne réaction : identifier la version réellement utilisée, demander à l’hébergeur si le correctif est déployé, puis planifier toute évolution avec sauvegarde restaurable, vérification de compatibilité et tests. Changer brutalement la version PHP d’un site en production peut entraîner des dysfonctionnements ; cela ne doit pas pour autant retarder une correction de sécurité critique.

2. Des services publics mis en maintenance par précaution

Dans le contexte de cette alerte, la Ville de Paris a confirmé le 21 octobre la mise hors ligne temporaire de certains de ses services utilisant PHP, le temps de procéder aux vérifications et corrections nécessaires. D’autres sites institutionnels ont également fait l’objet de perturbations signalées.

Il faut distinguer une interruption volontaire de protection d’une cyberattaque confirmée. Suspendre temporairement un service exposé peut être une mesure proportionnée lorsqu’un correctif doit être appliqué en urgence. Pour une entreprise, l’enjeu est d’anticiper ce scénario avec une page d’information, un canal de contact alternatif et un plan de reprise.

3. Panne nationale Orange : appels, SMS et Internet mobile perturbés

Le mercredi 21 octobre, Orange a reconnu un incident majeur sur son réseau mobile en France. Il a perturbé les appels, SMS et usages de données mobiles pour une partie importante de ses clients particuliers et professionnels. L’opérateur a précisé que les appels d’urgence n’étaient pas impactés.

Orange a ensuite annoncé le rétablissement de ses services mobiles et attribué l’incident à la défaillance d’un équipement de son cœur de réseau mobile. Cette panne était indépendante de l’alerte PHP.

Au quotidien, une coupure de ce type peut empêcher de joindre un client, retarder une intervention, perturber un partage de connexion ou empêcher la réception d’un code d’authentification transmis par SMS.

En pratique : privilégier temporairement un Wi-Fi sécurisé pour la messagerie, la visioconférence et les applications Internet ; prévoir des coordonnées de secours ; et, pour les activités critiques, étudier une connexion ou une ligne de repli réellement indépendante de l’opérateur principal.

4. Autre évolution à surveiller : l’arrêt programmé de la 2G Orange

La veille de la panne, le 20 octobre 2026, Orange a annoncé la fin de son réseau 2G dans les derniers départements de l’Hexagone. Cette extinction planifiée n’est pas présentée comme la cause de l’incident mobile du 21 octobre.

Pour certaines entreprises, elle justifie un inventaire des équipements anciens reposant encore sur la 2G : terminaux de télémétrie, dispositifs d’alarme, modules de communication embarqués ou matériels métier spécifiques. La compatibilité doit être vérifiée auprès des fabricants et opérateurs concernés.

5. Accès distants : une alerte Ivanti publiée le 14 octobre

En parallèle, le CERT-FR a publié le 14 octobre 2026 une alerte sur Ivanti Connect Secure (CVE-2026-104935). La vulnérabilité peut notamment permettre une exécution de code à distance et un contournement de protections sur les versions affectées.

Ce signalement concerne les organisations équipées de ce produit, pas l’ensemble des VPN. Les entreprises utilisatrices doivent suivre les recommandations de l’éditeur et du CERT-FR, vérifier les signes éventuels de compromission et appliquer les correctifs adaptés.

Les cinq contrôles prioritaires pour une TPE ou PME

Recenser les systèmes exposés : sites Internet, applications métiers, accès distants et équipements réseau.
Vérifier les correctifs : moteur PHP réellement utilisé, support de l’hébergeur, versions des composants concernés et journaux techniques.
Tester les sauvegardes : une sauvegarde non restaurable ne constitue pas un plan de reprise.
Prévoir un canal de secours : téléphonie, connexion Internet, accès à la messagerie et contact clients en cas de panne opérateur.
Renforcer l’authentification : limiter la dépendance exclusive aux SMS, documenter les procédures de secours et protéger les comptes administrateurs.

Ce qu’il faut retenir

Trois réalités, un même enjeu : une faille de sécurité nécessite des correctifs, une panne opérateur nécessite une solution de repli, et une maintenance d’urgence nécessite une communication claire. Il n’existe pas de solution unique, mais une bonne préparation limite les conséquences sur l’activité.

SERVIPRA accompagne les TPE et PME sur Microsoft 365, la cybersécurité, les sauvegardes, la maintenance informatique et les infrastructures réseau, avec des interventions sur site et à distance. L’objectif : vérifier les risques réels, hiérarchiser les actions et éviter les modifications précipitées.

Sources officielles

Les informations ci-dessus proviennent des communications institutionnelles et des éditeurs. Elles reflètent l’état des annonces au 22 octobre 2026.

À retenir

Cette synthèse facilite la lecture pour une TPE/PME. Pour les détails techniques, versions affectées, correctifs et évolutions, la publication officielle reste la référence.

Consulter la source de veille ↗

Besoin de vérifier votre environnement ?

Transformons l’alerte en actions concrètes.

SERVIPRA accompagne les TPE et PME sur Microsoft 365, la cybersécurité, la sauvegarde et le MCO.

Demander un diagnostic