Le 21 octobre 2026, une faille critique baptisée PHP2Shell a poussé l’État à fermer une partie de ses sites internet, dont ceux des préfectures et de Météo-France. Le site de votre commune repose très probablement sur le même logiciel. Voici comment réagir, en élu responsable de la sécurité de sa population. (Pour comprendre la faille elle-même, voir notre article explicatif.)

Une crise cyber est une crise de sécurité civile

En fermant leurs sites, les préfectures ont renvoyé les habitants vers leurs comptes sur les réseaux sociaux. Météo-France, chargée des vigilances, a annoncé que l’information de sécurité météorologique passerait par ses réseaux en attendant le rétablissement de ses outils. Imaginez la même coupure un jour de vigilance rouge ou d’inondation.

Dans beaucoup de communes, le DICRIM, les consignes de crise, les arrêtés et les messages d’urgence passent d’abord par le site internet. Si ce canal tombe, ou pire s’il est piraté et affiche de fausses consignes, la commune perd sa voix au moment où la population en a le plus besoin. Le repli sur Facebook ou X confie l’information de crise à des plateformes privées que tout le monde ne consulte pas. Les personnes âgées, isolées ou éloignées du numérique décrochent les premières.

Un site piraté expose aussi les données des habitants : inscriptions périscolaires, demandes d’état civil, formulaires de contact. La commune en est responsable.

Pas besoin d’être informaticien pour agir. Votre rôle est de poser les bonnes questions, d’exiger des réponses écrites et de décider.

Dans les 24 heures

1. Appelez votre hébergeur ou votre prestataire et posez trois questions : notre site tourne-t-il sous PHP ? Quelle version ? Le correctif du 21 octobre est-il installé ? Demandez une confirmation par écrit.
2. Recensez tous vos services en ligne, pas seulement le site : portail famille, paiement, réservation de salles, prise de rendez-vous. Faites de même avec votre intercommunalité, qui héberge parfois ces outils.
3. Si la réponse est floue, ou si la version est trop ancienne pour être corrigée, demandez la mise hors ligne temporaire. C’est exactement ce qu’a fait l’État. Un site fermé quelques jours coûte moins cher qu’un site piraté.
4. Prévenez les habitants par un autre canal si le site est coupé : affichage en mairie et dans les commerces, panneau lumineux, lettre d’information, relais par les élus de quartier.

Si vous constatez quelque chose d’anormal

Page modifiée, contenu étrange, site très lent, messages inhabituels : traitez-le comme un incident.

• Ne supprimez rien vous-même : les traces servent à l’enquête. Faites isoler le site par votre prestataire.
• Faites-vous assister via cybermalveillance.gouv.fr ou le centre régional de réponse aux incidents cyber (CSIRT) de votre région.
• Déposez plainte auprès de la gendarmerie ou de la police.
• Si des données d’habitants ont pu être exposées, la commune doit notifier la CNIL dans les 72 heures.

Dans les semaines qui viennent

• Revoyez le contrat de maintenance : il doit couvrir les mises à jour de sécurité du serveur, pas seulement du contenu, avec un délai d’intervention garanti.
• Planifiez la migration des sites anciens. À l’échelle intercommunale, mutualiser l’hébergement des petites communes est souvent la solution la plus réaliste.
• Désignez un référent (élu ou agent) chargé de suivre les alertes du CERT-FR et de déclencher la réaction.
• Intégrez le risque cyber dans votre PCS ou votre PICS, avec un mode dégradé qui fonctionne sans internet : DICRIM et fiches réflexes sur papier, liste des personnes vulnérables accessible hors ligne, réserve communale de sécurité civile mobilisable pour le porte-à-porte, relais par les radios locales.
• Testez-le lors de votre prochain exercice, en partant du principe que le site est hors ligne.

En conclusion

La question pour un maire n’est pas de devenir expert en cybersécurité. Elle est de savoir qui gère ses outils numériques, à quelle vitesse il réagit, et comment la commune continue d’informer et de protéger sa population le jour où son site s’éteint.

Sources

• franceinfo – Préfectures, médias, impôts : pourquoi de nombreux sites internet sont inaccessibles
• France 3 PACA – Police, université, Météo-France : pourquoi de nombreux sites sont en panne
• Stéphane Larue – L’Intérieur coupe les sites des préfectures
• Websource – CVE-2026-109618 : ce que l’on sait
• The Record – Hundreds of websites taken offline
• cybermalveillance.gouv.fr
• CERT-FR