# Faille de sécurité sur le site d'une collectivité : guide pour l'administration

> PHP2Shell et collectivités : sécuriser site TYPO3, formulaires citoyens et infos du conseil, clarifier les rôles et informer sobrement les citoyens.

Source : https://phpsos.de/fr/branchen/kommunen-verwaltung/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** une faille de sécurité sur le site web d'une collectivité est un incident à retentissement public. Clarifiez qui exploite le serveur, faites confirmer le correctif PHP et le redémarrage, et tenez une page d'urgence prête au cas où le site devrait être temporairement déconnecté. La communication vers les citoyens et la presse devrait être coordonnée avant que les questions n'arrivent.

## Quels systèmes PHP les collectivités exploitent typiquement

De nombreux sites de collectivités fonctionnent sur [TYPO3](https://phpsos.de/fr/plattformen/typo3/), d'autres sur d'autres systèmes PHP. Autour du site principal naissent d'autres applications : formulaires en ligne pour demandes et inscriptions, signalement de dysfonctionnements, calendriers d'événements, participation citoyenne, portails d'emploi, préinscription en crèche, sites touristiques, catalogues de bibliothèques et sites d'établissements comme l'école de musique ou les services municipaux.

Certaines de ces applications sont exploitées par la collectivité elle-même, d'autres par un centre de données communal, un syndicat intercommunal ou un éditeur de logiciels métiers. Pour fermer une faille dans PHP, il faut d'abord savoir sur les serveurs de qui fonctionne quelle application.

Les petites communes n'ont souvent pas de service informatique propre. Là, un agent du secrétariat général s'occupe du site en plus de son travail, la technique est confiée à une agence, et les contrats datent d'une époque où personne ne pensait aux failles critiques dans le langage de programmation. Les grandes villes ont le problème inverse : tant de sites de services, de projets et d'établissements que presque personne ne connaît la liste complète.

## Ce qui est en jeu sur les sites des collectivités

Dans les formulaires et portails se trouvent des données de citoyennes et citoyens : adresses, dates de naissance, informations sur les enfants lors des inscriptions en crèche et à l'école, photos et lieux lors des signalements de dysfonctionnements, candidatures. Pour les organismes publics s'appliquent le RGPD et la loi du Land sur la protection des données ; l'autorité de contrôle du Land est en règle générale compétente.

L'intégrité pèse au moins aussi lourd : le site d'une collectivité est une source officielle. Des contenus manipulés, de fausses publications officielles ou des redirections vers des sites frauduleux sous le nom de la ville nuisent à la confiance bien au-delà du dommage technique.

Les domaines communaux jouissent de la confiance des citoyens et des moteurs de recherche. C'est précisément ce qui les rend attrayants pour les attaquants : comme expéditeur de spam, comme support de pages frauduleuses ou comme plateforme de fausses informations, par exemple sur les élections, les intempéries ou les redevances.

## Collectivité et faille de sécurité du site : qui décide de quoi ?

| Rôle | Tâche typique lors de l'incident |
|---|---|
| Centre de données communal ou prestataire informatique | Serveur, paquets PHP, redémarrage, séparation du réseau |
| Secrétariat général ou coordination informatique | Pilotage d'ensemble, commande, plan d'urgence |
| Service de presse | Information des citoyens et des médias |
| Délégué à la protection des données de l'administration | Évaluation de l'obligation de notification |
| Agence web | CMS, extensions, contenus |

Le vide apparaît fréquemment entre le centre de données et l'agence : le centre de données exploite le serveur, l'agence entretient TYPO3, et chaque partie suppose que l'autre s'occupe de PHP. Une mise à jour de TYPO3 ne ferme pas PHP2Shell.

> **Agir immédiatement:**
> Le BSI a évalué la situation au niveau d'alerte 3 / orange et recommande une mise à jour immédiate. Si un serveur web communal ne peut pas être corrigé immédiatement, déconnectez-le temporairement du réseau et mettez en ligne une page d'urgence statique.

## Les premières heures dans l'administration

1. Recenser tous les sites et applications métiers avec accès web, y compris établissements et tourisme.
2. Faire confirmer par écrit par chaque exploitant : PHP en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou backport appliqué, tous les processus redémarrés.
3. Déconnecter du réseau les systèmes non confirmés ou les protéger jusqu'au correctif par un [correctif virtuel](https://phpsos.de/fr/leistungen/waf-virtuelles-patching/). Cloudflare souligne que des règles fondées sur les seules données de la requête ne suffisent pas ; c'est un pont, pas un substitut.
4. Sauvegarder les journaux à partir du 20 octobre 2026.
5. Informer le service de presse et le délégué à la protection des données et convenir d'éléments de langage sobres. La page consacrée à la [communication de crise](https://phpsos.de/fr/compliance/krisenkommunikation/) y aide.

Ce que le BSI recommande en détail, la page [Recommandations du BSI sur PHP2Shell](https://phpsos.de/fr/compliance/bsi-empfehlungen/) le résume. Les questions de marchés publics et de commande d'urgence, vous les clarifiez selon vos règles internes.

## Prévention : page d'urgence, inventaire et suppléance

La prochaine faille critique viendra à coup sûr. Trois préparatifs font alors gagner des heures : une page d'urgence statique toute prête avec numéros de téléphone, horaires d'ouverture et indications pour les demandes urgentes, qui peut être servie sans PHP. Un inventaire tenu à jour de toutes les applications web avec exploitant, interlocuteur et base contractuelle. Et une règle de suppléance, afin que des décisions comme la mise hors ligne du site puissent aussi être prises le soir et le week-end.

Ces points relèvent du [plan d'urgence informatique](https://phpsos.de/fr/compliance/notfallplan-erstellen/) de l'administration. Les régies, les services municipaux et les établissements ayant leurs propres sites web devraient y figurer expressément, car sinon ils manquent à l'inventaire.

## Comment PHP SOS aide-t-il concrètement ?

- Nous soutenons votre coordination informatique pour l'inventaire et clarifions avec le centre de données, les éditeurs et l'agence qui corrige quel système.
- Là où vous exploitez vous-mêmes, nous prenons en charge, via le [service de correctifs PHP](https://phpsos.de/fr/leistungen/php-patch-service/), la mise à jour, le redémarrage et le justificatif écrit.
- En cas de soupçon de compromission, nous préservons les traces et vérifions que les contenus n'ont pas été manipulés avant que le site ne repasse en ligne.
- Nous documentons le déroulement de manière à ce que le délégué à la protection des données, la direction de l'administration et la cour des comptes puissent le comprendre.


## Questions fréquentes

**Pouvons-nous simplement mettre hors ligne le site de la commune ?**  
Le BSI (office fédéral allemand de la sécurité des technologies de l'information) recommande de déconnecter temporairement les serveurs web du réseau lorsque la mise à jour n'est pas possible immédiatement. Pour les collectivités, une page d'urgence statique avec les principales voies de contact est indiquée. Qui peut en décider en interne devrait figurer dans le plan d'urgence.

**Le système d'information du conseil est-il concerné ?**  
Cela dépend de la technique et de l'exploitation. Les systèmes d'information du conseil et les services en ligne sont souvent exploités par des éditeurs de logiciels métiers ou par des centres de données communaux. Demandez-leur concrètement l'usage de PHP, l'état des correctifs et le redémarrage.

**Quelle autorité de protection des données est compétente pour les collectivités ?**  
Pour les organismes publics des Länder et des communes, c'est en règle générale l'autorité de contrôle de la protection des données du Land concerné qui est compétente. S'appliquent en outre les lois des Länder sur la protection des données. Votre délégué à la protection des données connaît les circuits de notification.

## Sources

- [BSI : alertes et recommandations](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net : avis de sécurité](https://www.php.net/)
- [TYPO3](https://typo3.org/)