Souveraineté ≠ sécurité : pourquoi il faut les deux
89,5 % des sites de collectivités dont l'hébergeur est identifié sont hébergés chez un acteur de l'Union européenne. C'est une bonne nouvelle pour la souveraineté. Mais un serveur français non mis à jour reste un serveur vulnérable : les failles PHP révélées en octobre 2026 le rappellent.
Publié le 22 octobre 2026 · mis à jour le 22 octobre 2026 · chiffres issus des dépendances détectées le 25 octobre 2026
Deux questions différentes
- La souveraineté répond à la question « qui peut accéder à nos données, et sous quelle loi ? ». Un fournisseur soumis au Cloud Act peut être contraint par la justice américaine de transmettre des données, même hébergées en Europe.
- La sécurité répond à la question « est-ce que quelqu'un peut entrer sans y être autorisé ? ». Une faille non corrigée ouvre la porte, quel que soit le pays de l'hébergeur.
| Souveraineté | Sécurité | |
|---|---|---|
| La question posée | Qui peut accéder à nos données, et sous quelle loi ? | Quelqu'un peut-il entrer sans y être autorisé ? |
| Le risque | Transmission de données imposée par une loi étrangère, coupure décidée hors d'Europe | Prise de contrôle d'un serveur, vol ou destruction de données, site défiguré |
| Ce qui protège | Le choix du fournisseur et les contrats | Les mises à jour, les sauvegardes, la surveillance |
| Mesuré par Bleu Blanc Cloud ? | Oui : c'est l'objet de l'observatoire | Non : nous ne mesurons pas la sécurité des sites |
L'exemple d'octobre 2026 : PHP2Shell
Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles critiques (CVE-2026-109618 et CVE-2026-109619), surnommées « PHP2Shell ». Elles peuvent permettre à un attaquant, sans être connecté, de prendre le contrôle d'un serveur web qui exécute PHP. Des détails ont fuité avant l'annonce prévue, et plusieurs éditeurs de sécurité signalent des tentatives d'exploitation. Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions 8.1 et antérieures ne sont plus maintenues officiellement.
PHP fait tourner une grande partie des sites web, dont beaucoup de sites de collectivités (CMS comme WordPress, Drupal ou Joomla). Être hébergé en France ne protège pas : seule la mise à jour protège.
Sources :
- Help Net Security : correctifs PHP2Shell (21 octobre 2026)
- CISA : alerte du 21 octobre 2026 sur les vulnérabilités critiques de PHP
- SecurityWeek : fuite des détails avant l'annonce
- The Hacker News : correctifs d'urgence et tentatives d'exploitation
Ce que montrent nos données
- 89,5 % des 1 068 sites dont l'hébergeur est identifié sont hébergés dans l'Union européenne. Mais 52,2 % chez un seul et même hébergeur (OVHcloud). C'est européen, mais concentré : une panne majeure chez lui toucherait 725 collectivités. Voir la simulation
- 39,0 % des collectivités dont la messagerie est identifiée la confient à un acteur soumis au Cloud Act.
- Notre propre site est statique : pas de PHP, pas de base de données exposée. Exposition à PHP2Shell : aucune. Ce n'est pas de la chance, c'est un choix d'architecture.
Le kit : 5 questions à poser à votre prestataire
- Où sont nos données, et chez qui ? Quel hébergeur, dans quel pays, et quelle est sa maison mère ? Est-elle soumise à une loi extraterritoriale (Cloud Act) ?
- Sous quel délai appliquez-vous les correctifs critiques ? Avez-vous appliqué ceux d'octobre 2026 pour PHP ? Qui nous prévient, et sous quel délai, en cas d'incident ?
- Nos logiciels sont-ils encore maintenus ? Version de PHP, du CMS et des extensions : y a-t-il des composants en fin de vie ?
- Que se passe-t-il si votre service tombe ? Où sont les sauvegardes, quand ont-elles été testées pour la dernière fois, et quel est le délai de reprise ?
- Pouvons-nous partir facilement ? Comment récupérer nos données et nos noms de domaine, dans quel format, à quel coût ?
Bonus : Avez-vous des sites anciens ou oubliés (anciens événements, anciens mandats) ? Ils sont souvent les moins mis à jour.
Version imprimable du kit Télécharger le kit (PDF)