Deux mois après le coup d’envoi, la facturation électronique a franchi un premier cap : près de huit entreprises déclarant la TVA sur dix ont choisi leur plateforme agréée. Plus d’une sur cinq reste pourtant hors circuit, alors que la tolérance administrative s’arrête fin 2026.

Le dernier point d’étape est tombé vendredi 23 octobre 2026. La Direction régionale des finances publiques (DRFIP) de La Réunion y évoque un démarrage réussi et publie au passage les chiffres nationaux : 46 % des entreprises assujetties à la TVA ont rejoint une plateforme agréée, un taux qui grimpe à 79 % parmi celles qui déposent effectivement des déclarations de TVA. Selon la même source, 146 plateformes agréées sont désormais proposées aux entreprises. Début octobre, le ministère de l’Action et des Comptes publics affichait encore 75 % : la courbe progresse, mais lentement.

Un premier bilan chiffré de la réforme

Le premier comité de suivi, réuni le 8 octobre sous l’égide du ministre David Amiel, avait livré des ordres de grandeur inédits. Au 4 octobre, d’après le communiqué ministériel repris par TPE Actu :

• plus de 20 millions de factures avaient transité par le nouveau circuit depuis le 1er septembre ;
• elles représentaient plus de 70 milliards d’euros de montants facturés ;
• environ un quart des entreprises déclarant la TVA n’avaient désigné aucune plateforme de réception.

Un deuxième comité de suivi est annoncé d’ici fin décembre 2026. Le ministère ne publie en revanche ni taux de satisfaction ni répartition des difficultés selon la taille des entreprises.

Calendrier : la réception d’abord, l’émission en 2027

Depuis le 1er septembre 2026

Toutes les entreprises assujetties doivent être en mesure de recevoir des factures électroniques via une plateforme agréée, microentrepreneurs compris. Les grandes entreprises et les ETI doivent en plus les émettre et transmettre leurs données d’e-reporting (ventes aux particuliers, opérations internationales).

Au 1er septembre 2027

Les PME, TPE et microentreprises basculeront à leur tour sur l’émission. Le délai accordé ne concerne donc que l’envoi : la réception est déjà obligatoire pour tous. Un PDF envoyé par e-mail n’est pas une facture électronique au sens de la réforme : le document doit contenir des données structurées lisibles par machine et passer par une plateforme agréée.

Sanctions : la tolérance prend fin avec 2026

Le gouvernement a indiqué qu’aucune sanction ne serait appliquée avant la fin de l’année, sans pour autant décaler les dates légales. Le Code général des impôts prévoit ensuite une amende de 50 euros par facture non conforme, plafonnée à 15 000 euros par année civile (article 1737). Côté client, le droit à déduction de la TVA dépend de la régularité des factures : un document hors circuit peut donc fragiliser une déduction.

Les difficultés remontées lors du premier comité sont surtout pratiques : tarifs des plateformes peu lisibles, connexion laborieuse avec les logiciels existants, adaptation des procédures internes dans les petites structures, et statuts de factures mal transmis d’une plateforme à l’autre, ce qui freine l’automatisation.

Facturation électronique : les réflexes à adopter

Pour les PME comme pour les communes qui travaillent avec des fournisseurs privés, la réforme touche autant l’outillage que l’organisation. Quelques priorités :

• Désignez votre plateforme de réception si ce n’est pas fait, en vérifiant ce que proposent déjà votre logiciel comptable, votre banque ou votre expert-comptable.
• Comparez les coûts réels : abonnement, volume de factures, connecteurs et archivage.
• Numérisez vos flux papier : un parc d’imprimantes et scanners multifonctions bien paramétré facilite la transition vers la dématérialisation documentaire.
• Sécurisez les accès : les identifiants de plateforme deviennent des cibles, comme le rappelait notre article sur les fuites de données et identifiants volés. Une politique de sécurité informatique adaptée (MFA, sauvegardes) s’impose.
• Protégez vos équipements d’impression, souvent oubliés alors qu’ils traitent des documents comptables : voir notre analyse sur la sécurité des imprimantes multifonctions.
• Anticipez l’émission de 2027 : renouveler des postes vieillissants via le leasing informatique ou automatiser le traitement des factures avec des agents IA se planifie dès maintenant.

Facturation électronique : l’essentiel à retenir

Le premier bilan de la facturation électronique confirme que la machine fonctionne, mais pas encore pour tout le monde. Avec la fin de la période de tolérance au 31 décembre et l’obligation d’émission en septembre 2027, les entreprises encore hésitantes ont intérêt à agir maintenant : choisissez votre plateforme, fiabilisez vos équipements et sécurisez vos accès avant que les amendes ne s’appliquent.

Source : Imaz Press – Facturation électronique : « un démarrage réussi à La Réunion », selon les Finances publiques (23 octobre 2026)
Voir aussi : TPE Actu – Facturation électronique : le premier bilan d’octobre 2026 (10 octobre 2026)
Voir aussi : Kohen Avocats – Facture électronique obligatoire depuis le 1er septembre 2026 : amendes et mise en conformité (24 octobre 2026)

La tempête Austen a privé de réseau une partie de la Bretagne, de la Normandie et des Pays de la Loire les 23 et 24 octobre 2026. Plus de 400 sites mobiles avaient au moins un service coupé vendredi en fin de matinée, pendant que des centaines de milliers de foyers perdaient l’électricité. Antennes, box et émetteurs TNT ont flanché pour la même raison : le courant.

Les rafales ont atteint 120 à 140 km/h en Bretagne et dans l’ouest de la Manche dans la nuit du 22 au 23 octobre, selon Clubic. D’après Enedis, près de 290 000 foyers étaient privés d’électricité à la mi-journée du vendredi. Samedi à 7 h, 146 000 clients attendaient encore le retour du courant, 264 000 ayant déjà été réalimentés depuis le pic.

Tempête Austen : les antennes tombent quand les batteries lâchent

Le site spécialisé DegroupTest a compilé les fichiers d’indisponibilité que publient chaque jour Orange, SFR, Bouygues Telecom et Free. Vendredi à 11 h, 412 sites avaient au moins un service hors d’usage, dont 204 en Bretagne. À 15 h 35, le décompte atteignait 498 sites dans les trois régions, dont 334 avec un incident déclaré après le 22 octobre à 20 h. Ce n’est pas un bilan des dégâts, prévient le site : la cause n’est pas établie antenne par antenne.

Une autonomie limitée

Une antenne-relais privée de courant bascule sur ses batteries de secours, à l’autonomie limitée. Une fois les batteries vidées, le site s’éteint. Et le retour du courant ne suffit pas toujours : certaines installations exigent un technicien, précise Orange. D’après les dates déclarées sur data.gouv.fr, l’opérateur prévoyait de rétablir la plupart de ses antennes entre le 24 et le 26 octobre. SFR annonçait le 22 novembre pour cinq de ses sites.

La semaine avait déjà été rude, avec la panne du réseau mobile Orange du 21 octobre, sans lien avec les intempéries.

Box, téléphonie, TNT : une dépendance totale à l’électricité

Des communes coupées du monde

Dans le Morbihan, l’association des maires recensait à la mi-journée du 23 octobre 15 communes sans téléphone fixe ni internet, sur les 98 ayant répondu à son point de situation, rapporte Clubic. Pour ces mairies, le standard fixe devient injoignable au moment où la population cherche des informations.

La box ne survit pas à la coupure

Sans électricité, ni la box ni le téléviseur ne fonctionnent, rappelle Telesatellite. En entreprise, routeur, commutateurs et postes IP s’arrêtent de même, fibre intacte ou non. Selon le site, seuls les foyers équipés d’une source d’énergie autonome et d’un accès internet par satellite peuvent rester connectés.

Quatre émetteurs TNT à l’arrêt

Samedi matin, quatre émetteurs de télévision étaient en défaut : Perros-Guirec (Côtes-d’Armor), Valmont (Seine-Maritime), Provins (Seine-et-Marne) et Orléans (Loiret). Leur remise en service dépendait, là aussi, du retour du courant.

Indemnisation : pas de remboursement automatique

Aucun texte n’impose de dédommager automatiquement un abonné après une coupure, souligne Clubic. Les conditions générales d’Orange et de Sosh, citées par MoneyVox, prévoient un remboursement au prorata uniquement si l’interruption dépasse 10 % de la durée du mois ou 48 heures consécutives. Certaines communes touchées par Austen pourraient franchir ce seuil. Mais une tempête ouvre aussi la porte à la force majeure, que le Code civil réserve aux événements imprévisibles et inévitables.

Après les incendies de l’été, les quatre opérateurs avaient offert 200 Go de données aux abonnés sinistrés ; samedi matin, aucun geste comparable n’était annoncé. L’Arcep conseille de noter les dates, de conserver des captures d’écran, de contacter le service client puis, faute de réponse, de saisir le médiateur des communications électroniques et des postes.

Réflexes : tenir quand le courant et le réseau tombent

Pendant la coupure

• Consultez la carte « Mon réseau mobile » de l’Arcep, mise à jour chaque jour : l’antenne d’un autre opérateur peut fonctionner normalement ;
• si la box est alimentée, activez les appels Wi-Fi ;
• inutile de réinitialiser les téléphones : cela ne rallume pas l’antenne ;
• en cas d’urgence, le 112 passe par n’importe quel réseau à portée.

Avant la prochaine tempête

• Secourez l’alimentation : un onduleur dimensionné pour la box ou le routeur, les commutateurs et le serveur téléphonique de votre réseau d’entreprise tient le temps d’une coupure courte ;
• Doublez le lien : complétez votre accès internet très haut débit par un secours 4G/5G ou par satellite, une filière qui se structure en Europe ;
• Prévoyez le renvoi des appels : des solutions de téléphonie d’entreprise hébergées permettent de rediriger le standard vers des mobiles ou un autre site ;
• Testez l’autonomie de la sûreté : alarmes, transmetteurs et caméras de vidéoprotection doivent disposer de batteries vérifiées, d’autant que nombre de transmetteurs ont dû migrer avec l’extinction de la 2G ;
• Pour les communes : inscrivez les moyens de communication de secours (ligne d’un autre opérateur, téléphone satellite, annuaire imprimé) dans le plan communal de sauvegarde.

Tempête Austen : l’essentiel à retenir

La tempête Austen rappelle une réalité souvent oubliée : un réseau télécom ne vaut que par son alimentation électrique. Antennes, box et émetteurs ont cédé quand les batteries se sont vidées. Pour votre entreprise ou votre collectivité, la vraie question est de savoir combien de temps vos lignes, votre accès internet et vos systèmes de sécurité tiendront sans courant. Un audit de continuité permet d’y répondre avant l’hiver.

Source : Clubic – Tempête Austen : plus de 400 antennes mobiles en panne dans l’Ouest, comment vérifier la vôtre et ce que vous pouvez réclamer (24 octobre 2026)
Voir aussi : DegroupTest – Tempête Austen : des antennes mobiles en panne, après une semaine difficile pour les réseaux (23 octobre 2026) ; Telesatellite – Tempête Austen : TV, box internet et TNT privées de courant dans le nord-ouest (24 octobre 2026)

Le rachat de SFR par Orange, Bouygues Telecom et Free ne changera rien aux contrats avant fin 2027 au plus tôt. L’Arcep a publié le 19 octobre une FAQ qui fixe les règles du jeu : numéro conservé, aucune démarche immédiate, messagerie à anticiper.

Le 6 juin 2026, les trois concurrents de SFR ont signé avec Altice France un protocole d’accord pour se partager l’opérateur au carré rouge, pour 20,35 milliards d’euros. Depuis, abonnés et gestionnaires de flottes s’interrogent. Pour couper court, le régulateur des télécoms a mis en ligne une foire aux questions, mise à jour le 19 octobre. Plusieurs médias, dont le Journal de l’Économie et Consoglobe, en ont détaillé la portée dans la foulée. Pour les entreprises, le message est double : pas d’urgence, mais une échéance à préparer.

Un calendrier long : décision fin 2027, migrations jusqu’en 2030

L’opération n’est pas une, mais trois. L’Autorité de la concurrence instruit trois projets de fusion distincts, un par repreneur, après un renvoi de la Commission européenne en juillet 2026. L’examen doit durer au moins 18 mois.

• Décision : fin 2027 au plus tôt, selon l’Arcep. L’Autorité peut autoriser, imposer des conditions ou refuser tout ou partie des projets.
• Transition : 30 mois après la finalisation, pilotés par une structure temporaire détenue en commun par les trois acheteurs.
• Transferts effectifs : d’après le Journal de l’Économie, les premières bascules d’abonnés interviendraient entre 2028 et 2030.

Le rôle de l’Arcep reste consultatif sur la fusion. Elle rendra des avis à l’Autorité de la concurrence et statuera sur le transfert des fréquences et des ressources de numérotation de SFR, numéros de téléphone compris.

Qui récupère quoi : les clients pros promis à Bouygues Telecom

La répartition annoncée reste soumise au feu vert des autorités. Telle que rapportée par la presse, elle dessine trois lots très différents.

Bouygues Telecom, héritier de SFR Business

Bouygues Telecom reprendrait l’ensemble des clients SFR Business, ainsi qu’environ 5,9 millions de particuliers. Une acquisition qui renforcerait nettement son poids sur le marché entreprises.

Free et Orange sur d’autres segments

Free récupérerait les 6 millions d’abonnés RED by SFR, 1,6 million de particuliers et, selon les mêmes sources, environ 400 000 TPE. Orange prendrait près de 4,9 millions de clients, surtout issus des opérateurs virtuels (MVNO), qui louent le réseau SFR.

L’Arcep, elle, reste prudente : elle indique que la ventilation exacte des clients n’est pas encore connue. Les entreprises ne savent donc pas avec certitude chez qui leurs lignes atterriront.

Numéros, contrats, couverture : les garanties pour les entreprises

Le numéro est conservé

Point clé pour un standard ou une flotte mobile : la portabilité du numéro est un droit permanent, rappelle l’Arcep, y compris pour les gestionnaires de contrats professionnels. Si le nouvel opérateur convient, la ligne bascule sans démarche. Sinon, l’entreprise peut porter ses numéros chez l’opérateur de son choix.

Les contrats restent en vigueur

D’ici la décision, rien ne bouge. Chaque client peut rester chez SFR ou partir, dans les conditions de son contrat actuel (durée d’engagement, préavis). SFR informera ses abonnés le moment venu.

La couverture reste sous surveillance

Le projet ne suspend pas les obligations de SFR en matière de déploiement et de qualité de service. L’Arcep promet de surveiller toute dégradation pendant la migration des réseaux. Elle vient d’ailleurs d’imposer à l’opérateur la mise en service de 81 sites mobiles supplémentaires.

Reste la question des prix : le passage de quatre à trois opérateurs de réseau en métropole fera partie de l’examen, indique le régulateur. Elle intervient alors que plusieurs opérateurs ont déjà relevé leurs tarifs mobiles cet automne.

Rachat de SFR : les réflexes à adopter dès maintenant

Aucune démarche n’est obligatoire. Mais un horizon 2028-2030 se prépare, surtout si vos lignes fixes, mobiles et votre accès internet dépendent d’un seul opérateur. Voici les points à vérifier :

• Inventoriez vos services SFR : numéros fixes et SDA, lignes mobiles, accès fibre, liens de secours, avec leurs dates de fin d’engagement.
• Sortez des adresses @sfr.fr : la loi ne garantit que six mois d’accès gratuit à la boîte après résiliation. Une messagerie sur votre propre nom de domaine vous rend indépendant de l’opérateur.
• Évitez les réengagements longs avant d’y voir clair, sauf contrepartie solide.
• Découplez numéros et réseau : une téléphonie fixe sur IP rend la migration d’opérateur quasi transparente pour vos appelants.
• Remettez en concurrence vos lignes : forfaits mobiles professionnels et accès internet très haut débit peuvent être audités dès maintenant.

Rachat de SFR : l’essentiel à retenir

Le rachat de SFR ne bouleversera pas les télécoms des entreprises du jour au lendemain : rien ne change avant fin 2027, et le numéro reste acquis. Mais il redessine le marché à trois opérateurs, avec SFR Business promis à Bouygues Telecom. Profitez de ce délai pour cartographier vos contrats, reprendre la main sur vos adresses e-mail et choisir, plutôt que subir, votre futur opérateur.

Source : Arcep – Rachat de SFR : quel impact sur mon abonnement mobile ou Internet si je suis client de SFR ? (mis à jour le 19 octobre 2026)
Voir aussi : Journal de l’Économie – SFR racheté : 10 réponses de l’Arcep aux questions qui vous inquiètent (22 octobre 2026)
Voir aussi : Consoglobe – SFR racheté : ce qui change vraiment pour 25 millions d’abonnés (21 octobre 2026)

Fortinet a publié les 21 et 22 octobre 2026 des correctifs critiques pour cinq de ses produits, dont le système des pare-feu FortiGate. Particularité : ces failles Fortinet, repérées avec l’aide de l’intelligence artificielle, ne seront documentées que le 10 novembre. Entreprises et collectivités doivent donc mettre à jour sans connaître précisément le risque.

L’annonce est signée Carl Windsor, responsable de la sécurité des systèmes d’information (RSSI) de Fortinet, dans un billet publié le 21 octobre. FortiMail, la passerelle de messagerie, et FortiAuthenticator, la brique de gestion des identités, ont été corrigés le jour même. FortiOS, le système d’exploitation des pare-feu FortiGate, la console d’administration centralisée FortiManager et l’outil de journalisation FortiAnalyzer ont suivi le 22 octobre. Le constructeur évoque des vulnérabilités critiques et de sévérité élevée, sans en donner le nombre. Aucun identifiant CVE (la référence publique d’une faille) ni score CVSS (sa note de gravité) n’a été communiqué : les avis complets paraîtront lors du « Patch Tuesday » de Fortinet, le 10 novembre 2026.

Des vulnérabilités débusquées par l’intelligence artificielle

Selon Fortinet, ces correctifs sont les premiers issus de son programme de tests de sécurité assisté par des modèles d’IA de pointe. L’éditeur remercie Anthropic, OpenAI, Google et SpaceX pour leur collaboration, sans préciser la contribution de chacun.

En juin, Fortinet avait déjà décrit sa participation aux projets Glasswing d’Anthropic et Daybreak d’OpenAI. D’après IT-Connect, l’éditeur notait alors que ces modèles trouvaient peu de failles inédites dans ses firmwares, mais qu’ils excellaient à comparer deux versions d’un logiciel et à produire des preuves de concept pour des failles déjà corrigées. C’est précisément ce savoir-faire qui inquiète aujourd’hui.

Pourquoi Fortinet demande de patcher sans attendre

Le constructeur demande de traiter ces mises à jour comme une priorité, et non comme une maintenance de routine. Il avance quatre raisons : la gravité des failles, et trois arguments liés à l’évolution des techniques d’attaque.

Le patch diffing, accéléré par l’IA

Un correctif public révèle les zones de code modifiées. En comparant la version corrigée et l’ancienne, un attaquant localise la faille et peut en tirer un exploit. Selon Fortinet, l’IA ramène ce travail de plusieurs semaines à quelques heures ou quelques jours.

Une fenêtre d’exploitation qui se réduit

« La fenêtre entre la divulgation et l’exploitation continue de se réduire », résume Carl Windsor. En septembre, la société de sécurité watchTowr estimait, d’après Cybernews, que ce délai était passé de deux semaines à quatre heures. Yordan Ganchev, chez watchTowr, juge que ces trois semaines sans détails offrent un terrain de chasse aux attaquants et s’attend à une exploitation rapide.

Le chaînage de failles

L’IA peut aussi combiner plusieurs vulnérabilités jugées mineures pour construire une attaque sérieuse. Or les équipements Fortinet sont des cibles de grande valeur : ils figurent régulièrement au catalogue des vulnérabilités activement exploitées tenu par l’agence américaine CISA.

Failles Fortinet : les conséquences pour les PME et les communes

Un pare-feu FortiGate est souvent la principale porte entre Internet et le système d’information d’une PME ou d’une mairie. Il filtre le trafic, cloisonne les réseaux d’entreprise et porte fréquemment les connexions VPN des accès nomades. Une compromission à ce niveau ouvre la voie à une intrusion dans tout le réseau.

Les versions à installer

• FortiOS (FortiGate) : 8.0.2, 7.6.8, 7.4.13 ou 7.2.14 selon la branche ;
• FortiManager et FortiAnalyzer : 8.0.2, 7.6.8, 7.4.12 ou 7.2.13 ;
• FortiMail : 8.0.2, 7.6.7 ou 7.4.9. La branche 7.2 ne sera pas corrigée : il faut migrer vers la 7.4 ou au-delà ;
• FortiAuthenticator : 8.0.4 ou 6.6.11.

Le cas des services cloud

FortiSASE est mis à jour automatiquement par Fortinet. FortiManager Cloud peut en revanche exiger une action manuelle, et les instances en cloud public sont mises à jour via les partenaires. Le scénario rappelle celui des failles critiques PHP corrigées en urgence le 21 octobre : des correctifs disponibles, et des attaquants prêts à exploiter le moindre retard.

Failles Fortinet : les réflexes à adopter avant le 10 novembre

Vous exploitez un ou plusieurs équipements Fortinet ? Le constructeur et les experts cités convergent sur quelques priorités :

• Inventoriez tous vos FortiGate, FortiManager et FortiAnalyzer, en commençant par ceux exposés sur Internet.
• Sauvegardez les configurations et planifiez une fenêtre d’intervention au plus vite.
• Restreignez les interfaces d’administration (HTTPS, SSH) à des adresses IP de confiance, ou désactivez-les côté Internet. Gardez FortiManager hors d’Internet.
• Imposez des identifiants uniques et l’authentification multifacteur (MFA) à tous les administrateurs. Les identifiants volés restent une porte d’entrée majeure, comme le soulignait notre article sur les fuites de données recensées par le CERT-FR.
• Surveillez les journaux pour repérer tout accès administrateur inhabituel ou changement non approuvé.

Ces mesures provisoires ne remplacent pas la mise à jour, insiste Fortinet. Sans équipe dédiée, un prestataire en sécurité informatique peut gérer l’inventaire et le déploiement. Les mairies et intercommunalités peuvent aussi s’appuyer sur un accompagnement en cybersécurité des collectivités.

Failles Fortinet : l’essentiel à retenir

En publiant ses correctifs trois semaines avant ses avis de sécurité, Fortinet tente de prendre de vitesse des attaquants désormais outillés par l’IA. Le pari ne fonctionne que si les clients mettent à jour rapidement. Les failles Fortinet corrigées en octobre n’attendront pas le 10 novembre pour être exploitées : vérifiez dès maintenant vos versions et fermez vos interfaces d’administration exposées.

Source : IT-Connect – FortiGate, FortiManager : Fortinet vous demande de patcher tout de suite, mais sans dire ce qu’il corrige (22 octobre 2026)
Voir aussi : Fortinet – Fortinet Releases Security Hardening Release for Multiple Products (21 octobre 2026) ; Cybernews – Fortinet critical patches out three weeks before CVEs, sparking pre-disclosure hack fears (23 octobre 2026)

Démarchage téléphonique Bloctel : 300 000 € d’amende pour un vendeur de fichiers

La répression des fraudes a infligé 300 000 euros d’amende à AS MEDIA, une société de Bobigny qui revendait des numéros inscrits sur Bloctel. Une sanction qui rappelle que le démarchage téléphonique Bloctel engage aussi ceux qui fournissent les fichiers, au moment où la France bascule vers le consentement préalable.

L’enquête a été conduite par la direction départementale de la protection des populations (DDPP) de Seine-Saint-Denis. La DGCCRF a rendu la décision publique en octobre, et Clubic l’a détaillée le 23 octobre 2026. Deux manquements sont retenus contre la SAS AS MEDIA : elle n’informait pas les consommateurs de leur droit de s’inscrire sur la liste d’opposition, et elle vendait des fichiers contenant des numéros de personnes inscrites sur Bloctel, c’est-à-dire ayant explicitement refusé d’être appelées.

Une amende proche du plafond légal

Le montant n’a rien de symbolique. Le Code de la consommation (article L. 242-16) plafonne l’amende administrative à 375 000 euros pour une personne morale. Avec 300 000 euros, l’administration a donc frappé à environ 80 % du maximum, d’après le site Juristique.

Une entreprise fragilisée

Selon les comptes relayés par Clubic, AS MEDIA affichait un résultat net de 608 000 euros en 2023, tombé à 49 000 euros en 2024. Le média indique que la société serait aujourd’hui en liquidation judiciaire.

Une série de sanctions

Ce dossier s’ajoute à d’autres décisions récentes : plus de 92 000 euros d’amende pour une autre entreprise de démarchage, une décision dépassant le million d’euros à Paris, et 6 millions d’euros en 2025 contre la société exploitant une marque de produits gastronomiques. La DGCCRF publie désormais régulièrement ces sanctions.

Depuis le 11 août 2026, le consentement préalable devient la règle

La sanction tombe deux mois après une réforme de fond. L’article 13 de la loi n° 2025-594 du 30 juin 2025 a renversé la logique : depuis le 11 août 2026, un appel de prospection vers un consommateur exige son accord préalable. Le décret n° 2026-662 du 23 juillet 2026 précise la collecte, la conservation et le retrait de ce consentement.

• le silence et les cases pré-cochées ne valent pas accord ;
• le consentement doit identifier l’entreprise et l’objet de l’appel, et dure un an au plus ;
• il peut être retiré à tout moment, y compris à l’oral ;
• la preuve doit être conservée au moins trois ans.

Des exceptions subsistent, notamment pour les appels liés à un contrat en cours et pour la vente d’abonnements à la presse. Le démarchage sur le CPF et la rénovation énergétique reste interdit. Les plages horaires autorisées et le plafond de quatre appels sur 30 jours sont maintenus.

Ce que ça change pour les entreprises et les communes

Le cas AS MEDIA montre que la responsabilité ne s’arrête pas à celui qui compose le numéro. Fournir un fichier non conforme est en soi une infraction. Toute entreprise qui achète des listes de prospects s’expose donc si elle ne peut pas démontrer l’origine des données.

Pour les structures qui appellent leurs clients ou administrés, l’enjeu est aussi technique. Tracer les appels sortants, horodater les échanges et centraliser les journaux devient utile pour prouver sa bonne foi. Une téléphonie d’entreprise moderne, avec historique des appels et règles de numérotation, facilite ce travail. À l’inverse, les PME et mairies qui reçoivent un flot d’appels non sollicités peuvent filtrer et router les communications grâce à un standard téléphonique d’entreprise configuré avec des règles d’accueil, comme nous l’expliquions dans notre article sur le renvoi d’appel en entreprise.

Démarchage téléphonique : les réflexes à adopter

Si votre activité inclut de la prospection par téléphone, ou si vous achetez des fichiers, quelques vérifications s’imposent avant le premier appel :

• Exigez la provenance des données : date, mode de collecte et formulation vue par le consommateur. La mention « fichier qualifié » ne constitue pas une preuve.
• Contrôlez un échantillon et vérifiez quelles entreprises et quelles offres couvre le consentement.
• Formalisez la gestion des oppositions pour que les retraits soient enregistrés et transmis à vos prestataires de centre d’appels.
• Sécurisez vos bases clients : des contacts mal protégés finissent souvent revendus. Une politique de sécurité informatique adaptée limite ce risque, comme le rappelait notre analyse des fuites de données en 2025.
• Paramétrez votre parc : une gestion centralisée des téléphones IP permet d’appliquer les mêmes règles sur tous les postes.

Conclusion

Avec 300 000 euros d’amende, la DGCCRF envoie un signal clair à toute la chaîne de la prospection, des courtiers en fichiers aux donneurs d’ordre. Le démarchage téléphonique post-Bloctel repose désormais sur la preuve du consentement. Vous avez tout intérêt à auditer vos fichiers et vos outils de téléphonie dès maintenant, plutôt qu’à l’occasion d’un contrôle.

Source : Clubic – Une société vendait les numéros de ceux qui refusaient le démarchage téléphonique, l’amende atteint 300 000 euros (23 octobre 2026)
Voir aussi : Juristique – Démarchage téléphonique : AS MEDIA sanctionnée de 300 000 € par la DGCCRF (16 octobre 2026) ; TPE Actu – 300 000 € d’amende pour la vente de fichiers contenant des numéros inscrits sur Bloctel (15 octobre 2026)

Fibre optique Mayotte : l’Autorité de la concurrence gèle le réseau d’Orange

Le 21 octobre 2026, l’Autorité de la concurrence a ordonné à Orange de suspendre le déploiement de son propre réseau de fibre optique à Mayotte. Objectif : protéger le réseau d’initiative publique confié par le Département-Région, que ce doublon privé menaçait d’asphyxier. Une décision d’urgence qui concerne bien au-delà de l’océan Indien.

La décision n° 26-MC-03 prend la forme de mesures conservatoires, des mesures provisoires prises en urgence avant tout examen au fond. Elle répond aux saisines de Réunicable et de sa filiale Mayotte Très Haut Débit (Mayotte THD), en novembre 2025, puis du Département-Région en mars 2026. À ce stade, l’Autorité estime que le comportement d’Orange est susceptible de constituer un abus de position dominante (article 102 du TFUE et article L. 420-2 du Code de commerce). Le texte intégral n’est pas encore publié.

Un réseau de 27 771 prises mis à l’arrêt

Depuis mars 2025, Orange déployait sur fonds propres un réseau FTTH (fibre jusqu’au logement ou au local) dans 5 des 17 communes de l’île, sans concertation préalable avec la collectivité ni le délégataire, selon l’Autorité. Objectif affiché : 27 771 prises raccordées d’ici 2030. Le projet est gelé jusqu’à la décision au fond, non datée.

Les injonctions prononcées

• suspension du projet FTTH d’Orange à Mayotte ;
• interdiction de démarcher les fournisseurs d’accès sur le marché de gros de la fibre, hors zones déjà déployées ;
• remise à l’Arcep et au Département-Région d’un inventaire de la fibre déjà posée et d’un état du réseau cuivre ;
• accès du délégataire aux infrastructures de génie civil contrôlées par Orange, lorsque le réseau public en a besoin.

Une porte de sortie négociée

Orange pourra demander la levée des mesures en cas de retard anormal du réseau public, d’accord de co-déploiement couvrant toute l’île, ou de révision de la délégation intégrant les tronçons déjà posés. Comme le relève Megazap, rien n’impose de démonter l’existant.

Fibre optique Mayotte : un réseau public menacé par un doublon

Après le cyclone Chido, le cuivre cède la place

Le 14 décembre 2024, le cyclone Chido a détruit les trois quarts du réseau cuivre aérien, soit 80 % du réseau d’Orange sur l’île d’après l’Autorité. Plutôt que de le reconstruire, l’opérateur historique a basculé cinq communes vers la fibre. Or le Département-Région avait signé le 14 janvier 2025 une délégation de service public (DSP) avec Réunicable, choisie après un appel d’offres où Orange était aussi candidat. Le cuivre doit fermer au plus tard en 2030.

Les communes les plus rentables dans le viseur

Les cinq communes ciblées pèseraient près de 70 % des recettes attendues du réseau public, selon une estimation de Mayotte THD. L’Autorité évalue à environ 60 % la perte de revenus de gros pour le délégataire. Or un réseau d’initiative publique (RIP) repose sur la péréquation : les zones denses financent les moins peuplées. Les douze autres communes, sans fibre Orange, regroupent environ 42 % de la population et des entreprises de l’île.

Les effets sont déjà visibles. L’État a gelé sa subvention, que L’Eco Austral chiffre à 55 millions d’euros, et l’Agence nationale de la cohésion des territoires (ANCT) a suspendu l’examen du dossier. Aucun opérateur n’a souscrit à l’offre de gros de Mayotte THD, quand la branche commerciale d’Orange et SRR, filiale de SFR, se sont positionnées sur le réseau d’Orange.

Orange conteste et prépare un appel

Orange juge la décision « infondée du point de vue du droit » et annonce un recours, selon L’Eco Austral. Côté délégataire, Nassir Goulamaly (groupe Océinde) dit avoir « perdu dix-huit mois ».

Un signal pour les collectivités et les entreprises

Le dossier pose une question familière à de nombreux territoires : un opérateur dominant peut-il bâtir son propre réseau sur les zones les plus rentables d’un RIP financé par la collectivité ? La réponse provisoire de l’Autorité est non, tant que l’équilibre du réseau public est menacé. Les collectivités engagées dans un RIP tiennent là un précédent utile, même si le fond reste à juger.

Pour les entreprises, la leçon est concrète : un conflit entre opérateurs peut figer la commercialisation pendant des mois, alors que la fermeture du réseau cuivre et du RTC suit son calendrier. En métropole aussi, la complétude des réseaux reste sensible, comme l’illustre la récente mise en demeure de l’Arcep sur les locaux non raccordables ou le débat sur l’entretien des réseaux fibre en zone rurale.

Réflexes : sécuriser la connectivité de vos sites

• Vérifiez l’éligibilité réelle de chaque site et le réseau qui le dessert (RIP ou privé) avant de comparer les offres internet très haut débit pour professionnels.
• Ne résiliez pas votre ligne cuivre avant la mise en service effective de la fibre.
• Prévoyez un lien de secours (4G/5G ou seconde fibre) pour les sites critiques, intégré à votre architecture réseau d’entreprise.
• Anticipez la bascule des usages analogiques : lignes fixes, alarmes, fax et terminaux de paiement, en planifiant la migration de votre téléphonie fixe vers l’IP.
• Côté collectivités, tenez à jour l’inventaire des infrastructures du territoire et suivez les obligations de votre délégataire.

Conclusion

Avec ces mesures conservatoires, l’Autorité fait primer, pour l’instant, la survie du réseau public sur la stratégie d’Orange. Rien n’est joué : l’opérateur prépare son appel et la décision au fond reste attendue. Pour les communes comme pour les entreprises, le dossier de la fibre optique Mayotte rappelle une règle simple : avant la fin du cuivre, mieux vaut anticiper sa connectivité que subir les conflits entre opérateurs.

Source : Autorité de la concurrence – Déploiement de la fibre internet à Mayotte : l’Autorité de la concurrence prononce des mesures conservatoires à l’encontre d’Orange (21 octobre 2026)
Voir aussi : Univers Freebox – Fibre : l’Autorité de la concurrence ordonne à Orange de suspendre son déploiement à Mayotte (21 octobre 2026) ; Megazap – Fibre à Mayotte : coup d’arrêt pour Orange, l’Autorité de la concurrence donne raison à Mayotte THD sur l’urgence (21 octobre 2026) ; L’Eco Austral – Fibre optique à Mayotte : l’Autorité de la Concurrence enjoint Orange d’arrêter (21 octobre 2026)

Fin de la 2G : Orange a éteint son réseau GSM, SFR et Bouygues suivent

La fin de la 2G est presque actée en métropole : Orange a coupé son réseau GSM dans ses 43 derniers départements le 20 octobre 2026. SFR et Bouygues Telecom éteindront le leur d’ici mi-décembre. Alarmes, ascenseurs, interphones et vieux terminaux sont en première ligne.

Le basculement s’est fait dans la nuit du lundi 19 au mardi 20 octobre. Selon iGeneration, un mobile témoin a perdu le signal vers 4h30 dans l’ouest du pays. Cette dernière vague touchait notamment Paris et sa proche banlieue, le Rhône, le Nord et la Gironde, d’après Clubic. Elle clôt un calendrier lancé le 31 mars 2026 autour de Bayonne, poursuivi dans le Sud-Ouest au printemps, à Nice le 22 septembre puis dans 44 départements le 6 octobre. Lancé commercialement en juillet 1992 sous la marque Itinéris, le réseau aura servi 34 ans.

Fin de la 2G : un calendrier serré jusqu’en décembre

Orange n’a pas totalement fini. Dans certaines zones blanches réglementaires, son signal 2G reste allumé jusqu’au 15 décembre 2026 au plus tard, selon Clubic ; DegroupTest situe cette coupure finale entre le 1er et le 15 décembre.

SFR et Bouygues Telecom dans la foulée

• SFR commencera mi-novembre par les zones très denses, puis généralisera l’arrêt dans la première quinzaine de décembre.
• Bouygues Telecom coupera le 15 novembre à Brest, Guipavas, Nancy et Vandœuvre-lès-Nancy, puis sur le reste de la métropole du 1er au 15 décembre.
• Free Mobile n’a pas de 2G propre : ses abonnés passaient par l’itinérance sur le réseau Orange et sont donc déjà concernés.

Outre-mer et 3G

La Réunion a perdu la 2G d’Orange dès octobre 2025, les Antilles et la Guyane fin septembre 2026. Prochaine étape : la 3G, qu’Orange prévoit d’arrêter en 2028, SFR fin 2028 et Bouygues Telecom fin 2029, selon Clubic. Free n’a pas encore fixé de date.

Pourquoi les opérateurs coupent le GSM

Orange avance trois arguments. D’abord la place : les fréquences 900 et 1 800 MHz libérées seront réaffectées à la 4G et à la 5G (on parle de refarming). Ensuite la sécurité : les réseaux récents chiffrent mieux les échanges et vérifient mieux l’identité des terminaux qui s’y connectent. Enfin la sobriété : d’après la Fédération française des télécoms, faire transiter un gigaoctet en 2G peut consommer jusqu’à 500 fois plus d’énergie qu’en 5G.

Ce que ça change pour les entreprises et les communes

Le risque n’est pas dans les poches des salariés mais dans les murs. Selon l’Arcep, citée par Clubic, 1,7 million d’appareils dépendaient encore uniquement de la 2G fin juin 2026. Un terminal 2G seul ne peut plus appeler ni envoyer de SMS sur le réseau Orange, y compris vers les numéros d’urgence.

Les équipements les plus exposés

• les transmetteurs d’alarme et boîtiers de télésurveillance reliés à un centre de surveillance ;
• les téléphones d’ascenseur et les dispositifs de téléassistance ;
• les interphones GSM et certains systèmes de contrôle d’accès des bâtiments ;
• des équipements industriels ou techniques communicants (relevés, automates, terminaux de paiement anciens).

Pour une collectivité, l’enjeu concerne aussi les écoles, gymnases et bâtiments techniques dont l’alarme appelait par carte SIM. Un boîtier muet ne déclenche plus aucune levée de doute : la panne est silencieuse. Le scénario rappelle celui de la fermeture de l’ADSL et du réseau cuivre, où les lignes d’alarme figurent parmi les angles morts.

Les réflexes à adopter avant décembre

• Inventoriez vos cartes SIM : alarmes, ascenseurs, portails, GTB, télérelève. Demandez à chaque mainteneur la technologie réseau utilisée.
• Testez réellement vos transmetteurs : un essai d’alarme vers le télésurveilleur vaut mieux qu’une fiche technique. Vérifiez aussi votre dispositif de sécurité des locaux dans son ensemble.
• Remplacez par du 4G (ou une liaison IP filaire), en privilégiant un module compatible 4G avec secours. Pour la vidéosurveillance connectée, profitez-en pour vérifier le débit disponible.
• Contrôlez la flotte mobile : les téléphones doivent gérer la 4G et la VoLTE (la voix sur 4G) avant l’arrêt de la 3G. Une revue de votre téléphonie mobile professionnelle évite les mauvaises surprises.
• Prévoyez la redondance : un double opérateur ou un lien fixe de secours limite l’impact d’une panne, comme l’a montré la récente panne du réseau mobile Orange.

Conclusion

La fin de la 2G n’est plus une échéance lointaine : Orange a éteint son réseau et SFR comme Bouygues Telecom bouclent le leur d’ici mi-décembre 2026, avant la 3G en 2028-2029. Pour vous, l’urgence est d’identifier chaque équipement qui communique encore en GSM et de le migrer vers la 4G ou l’IP avant qu’il ne se taise sans prévenir.

Source : Clubic – Orange vient d’éteindre la 2G presque partout en France : SFR et Bouygues Telecom vont très vite suivre (20 octobre 2026)
Voir aussi : DegroupTest – C’est fini : Orange tourne la page de la 2G après 34 ans de service (20 octobre 2026) ; iGeneration – 1992-2026 : le réseau Orange 2G s’est éteint définitivement (20 octobre 2026)

Fuites de données : 196 incidents en 2025, le CERT-FR pointe les identifiants volés

La plupart des fuites de données ne demandent aucune faille logicielle. Dans un retour d’expérience publié le 20 octobre 2026, le CERT-FR recense 196 exfiltrations signalées en 2025, contre 130 un an plus tôt. Les attaquants entrent surtout avec des identifiants valides.

Le document, référencé CERTFR-2026-CTI-008, compte 80 pages. Le centre de réponse aux incidents de l’ANSSI y tire les leçons d’une série d’exfiltrations traitées entre la fin 2025 et le début 2026. Toutes visent des applications web : services en ligne, portails clients, outils métiers ouverts dans un navigateur. L’agence ne constate aucun ciblage sectoriel particulier. Une PME qui gère un extranet est donc aussi exposée qu’une commune qui propose des démarches en ligne.

196 fuites de données en 2025, les identifiants en première ligne

Selon le RETEX (retour d’expérience), le CERT-FR a été informé de 196 incidents d’exfiltration en 2025, contre 130 traités en 2024, soit une hausse d’environ 50 %. Le diagnostic est net : dans la majorité des cas, aucune vulnérabilité technique n’est exploitée. Les attaquants se connectent avec des comptes légitimes, détournés de plusieurs manières.

Mots de passe réutilisés et infostealers

Premier levier : des identifiants déjà divulgués lors de fuites antérieures, réutilisés tels quels ou à peine modifiés. Deuxième : l’ingénierie sociale, hameçonnage en tête. Troisième, jugé récurrent par le CERT-FR : les infostealers, des logiciels malveillants spécialisés dans le vol d’identifiants. Fin 2025, plusieurs services publics ont subi des exfiltrations à partir d’identifiants dérobés sur les ordinateurs personnels de leurs usagers.

Convertisseur gratuit et API trop permissive

En février 2025, des entreprises de l’agroalimentaire ont été piégées par un convertisseur Word vers PDF gratuit. L’outil détournait les documents qu’on lui confiait et renvoyait des fichiers infectés. En mai 2025, un service d’e-santé a perdu des données personnelles et médicales : un compte usager compromis ouvrait l’accès à une API (interface de programmation) qui interrogeait directement la base. Scénario type : quelques consultations discrètes, des requêtes automatisées testées quelques jours plus tard, puis l’extraction massive.

Sous-traitants, anciens salariés et erreurs de configuration

Un laboratoire d’analyses médicales a vu des résultats exfiltrés via le compte d’un prestataire chargé de l’application de consultation. Le document cite aussi des comptes d’anciens employés jamais révoqués, des espaces de stockage cloud ouverts sans contrôle d’accès et des sauvegardes déposées sur des zones non protégées. Certaines failles, enfin, sont exploitées des mois après la sortie du correctif, comme l’a rappelé l’alerte sur les failles critiques PHP touchant les serveurs web.

Ce que le RETEX change pour les PME et les communes

Le message vise d’abord les directions. Le CERT-FR réclame une politique de gestion des données pilotée au plus haut niveau : inventaire des informations sensibles, cartographie des flux jusque chez les sous-traitants, chiffrement des exports et des sauvegardes, suppression de ce qui ne sert plus. Les données réelles n’ont rien à faire dans les environnements de test.

Pour une PME, l’enjeu dépasse le site vitrine : extranet client ou outil RH accessible à distance sont autant de points d’entrée à couvrir par la sécurité informatique de l’entreprise. Côté collectivités, les portails de démarches en ligne entrent dans le même périmètre. Les administrations doivent en outre homologuer chaque application au titre du RGS (référentiel général de sécurité), un enjeu central de la cybersécurité des collectivités.

Les réflexes à adopter dès maintenant

Abandonnez le mot de passe seul

Le CERT-FR tranche : « en 2026, l’authentification par le couple login/mot de passe est obsolète ». Activez l’authentification forte sur tous les comptes internes, idéalement via un fournisseur d’identité unique. Pour le grand public, l’agence privilégie les codes à usage unique et les passkeys. Les codes saisis à la main restent toutefois vulnérables à l’hameçonnage en temps réel. Traitez aussi chaque réinitialisation de mot de passe comme un événement sensible.

Réduisez l’exposition et les droits

• aucune interface d’administration joignable depuis Internet ;
• des applications internes accessibles uniquement depuis votre réseau d’entreprise ou via un accès nomade sécurisé par VPN avec authentification forte ;
• un compte par personne, aucun compte partagé, et la désactivation rapide des comptes inactifs ou d’anciens salariés ;
• des droits limités au besoin métier et un plafond de requêtes par compte ;
• des correctifs au moins mensuels sur les équipements exposés.

Tracez et surveillez

Chaque action doit être rattachée à un compte et à une adresse IP, horodatée et conservée au moins six mois dans un collecteur centralisé. Le CERT-FR recommande des alertes métier : volume anormal de fiches consultées, connexions hors horaires, « voyage impossible » entre deux pays. IT Social relève l’exemple d’une secrétaire médicale qui ouvre en moyenne 40 dossiers par jour : alerte au-delà de 50, désactivation du compte au-delà de 75. Sensibilisez enfin utilisateurs et décideurs, en lien avec votre DPO.

Conclusion

Le RETEX du CERT-FR déplace le curseur : les fuites de données se jouent moins dans le code que dans la gestion des identités, des droits et des journaux. Pour une PME comme pour une commune, trois chantiers s’imposent : en finir avec le mot de passe seul, fermer ce qui n’a pas à être exposé et surveiller les volumes consultés. Faites le point sur vos applications avant qu’un compte compromis ne le fasse à votre place.

Source : LeMagIT – Violations de données à répétition : l’Anssi fait son bilan et donne ses conseils (20 octobre 2026)
Voir aussi : CERT-FR – RETEX du CERT-FR sur les violations de données applicatives, CERTFR-2026-CTI-008 (20 octobre 2026) ; IT Social – Violations de données, la plupart des exfiltrations passent par des identifiants légitimes (21 octobre 2026)

Panne Orange : dix heures sans réseau mobile, la leçon pour les entreprises

La panne Orange du mercredi 21 octobre 2026 a privé une partie des abonnés mobiles d’appels, de SMS et de données pendant près de dix heures. Pour les TPE, PME et collectivités qui dépendent d’un seul opérateur, l’incident relance une question très concrète : que se passe-t-il quand le réseau tombe ?

Les premiers signalements remontent vers 11h20, partout en France, chez Orange comme chez sa marque low cost Sosh. Vers midi, le site déclaratif Downdetector recensait près de 12 000 alertes, selon BFM Tech relayé par Selectra. Peu après 12h, l’opérateur a reconnu auprès de BFM Tech une perturbation d’ampleur nationale touchant fortement les appels, les SMS et l’internet mobile. Le retour à la normale n’a été annoncé par Orange qu’autour de 21h, d’après Clubic.

Une défaillance au cœur du réseau mobile

Pendant l’après-midi, l’origine de l’incident est restée inconnue. À 14h43, Orange indiquait encore à l’AFP, citée par Le Monde, qu’une partie de ses clients était touchée et que la cause restait à identifier. Ce n’est que dans son communiqué du soir que l’opérateur a désigné la défaillance d’un équipement de son cœur de réseau mobile, sans préciser lequel.

Le cœur de réseau, point névralgique

Le cœur de réseau est la partie centrale d’un réseau mobile : il authentifie les cartes SIM, achemine les appels et oriente le trafic data. Quand un équipement de ce niveau flanche, ce ne sont pas quelques antennes qui tombent, mais potentiellement des millions de lignes. Orange revendique environ 21,6 millions de clients mobiles en France, selon BFM Tech. Aucun chiffre officiel de clients réellement coupés n’a été communiqué.

Une hypothèse non confirmée

Le hacker éthique Clément Domingo, alias SaxX, a évoqué une migration vers un nouveau cœur de réseau 5G qui aurait mis des lignes hors service. Orange n’a pas repris cette piste dans sa communication officielle, rapporte Clubic.

Appels, SMS, box 5G : des services en cascade

L’incident a dépassé le simple téléphone portable. Plusieurs usages professionnels ont été affectés :

• Appels et SMS impossibles ou intermittents pour une partie des abonnés, particuliers comme entreprises ;
• Internet mobile coupé, y compris pour les box 5G, qui passent par le réseau mobile ;
• des difficultés sur la fibre et l’ADSL signalées par des abonnés, mais non confirmées par l’opérateur ;
• un retour du signal très inégal : vers 19h, le Loiret et le Haut-Rhin retrouvaient du réseau par à-coups, quand la Haute-Garonne, la Sarthe, les Côtes-d’Armor et les Pyrénées-Atlantiques restaient privées de service, selon Clubic.

Côté urgences, Orange a assuré dans son communiqué de 19h que les appels d’urgence n’étaient pas concernés. Localement, le Tarn a toutefois recommandé de composer le 112 depuis une autre ligne en cas d’échec. Les autres opérateurs ont aussi enregistré des signalements, dans une moindre mesure.

Ce que la panne Orange change pour les entreprises et les communes

Ce n’est pas un épisode isolé. Clubic rappelle que la panne du 30 janvier 2026 avait duré environ 7h30, et que celle du 29 juin est restée sans explication détaillée. Pour une structure dont toute la téléphonie repose sur un seul réseau, une journée de coupure signifie des clients injoignables, des techniciens itinérants sans contact et des terminaux de paiement mobiles muets.

Les collectivités sont exposées de la même façon : astreintes, élus, agents de terrain et équipements connectés (alarmes, télésurveillance, capteurs) utilisent souvent des cartes SIM d’un même opérateur. Après l’arrêt de la 2G chez Orange, la veille de l’incident dans 43 départements, la dépendance au réseau mobile pour ces objets est encore plus forte. Clubic ne fait toutefois aucun lien entre les deux événements.

Réflexes : que faire pour ne plus subir une coupure ?

Pendant l’incident

• Activez puis désactivez le mode avion pour forcer la reconnexion, ou basculez en 3G si votre forfait le permet ;
• notez précisément les heures de perte et de retour du réseau : ces relevés servent pour une éventuelle réclamation auprès du service client ;
• pour une urgence, appelez le 112 depuis un fixe ou un mobile d’un autre opérateur.

Pour la suite

• Diversifiez les opérateurs : répartissez votre flotte de téléphonie mobile professionnelle sur deux réseaux, au moins pour les postes critiques ;
• Découplez fixe et mobile : un standard téléphonique d’entreprise en VoIP, adossé à un lien fibre, permet de router les appels vers d’autres numéros quand le mobile tombe ;
• Doublez l’accès internet : une connexion fibre ou très haut débit complétée par un lien de secours chez un autre opérateur, voire par satellite, comme l’illustre la montée en puissance des offres satellitaires européennes ;
• Sécurisez les équipements connectés : alarmes et transmetteurs gagnent à disposer de cartes SIM multi-opérateurs, supervisées via une plateforme d’hypervision ;
• prévoyez un accès nomade sécurisé pour que vos équipes puissent travailler depuis n’importe quel réseau disponible.

Conclusion

Avec près de dix heures de coupure, la panne Orange du 21 octobre dépasse nettement celle du 30 janvier, selon Clubic. Aucun geste commercial n’avait été annoncé à la publication des articles consultés. Pour les entreprises et les communes, la leçon est claire : la continuité télécom ne se délègue pas à un seul réseau. Un audit de vos lignes, de vos accès et de vos équipements connectés permet d’identifier en quelques heures les points de rupture à corriger.

Source : Clubic – Panne Orange et Sosh : l’opérateur officialise LA bonne nouvelle de la journée, et en dit plus sur l’incident (21 octobre 2026)
Voir aussi : Selectra – EN DIRECT. Panne géante Orange et Sosh, le point heure par heure (21 octobre 2026)

Failles critiques PHP : PME et communes doivent patcher leurs serveurs web

Le projet PHP a publié le 21 octobre des correctifs d’urgence pour deux failles critiques PHP baptisées « PHP2Shell ». Elles permettent de prendre la main sur un serveur web sans authentification. Sites vitrines, extranets et portails citoyens sont concernés.

Mercredi 21 octobre, vers 14 h UTC (16 h à Paris), l’équipe de sécurité de PHP a mis en ligne les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 du langage. Elles corrigent deux vulnérabilités référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 selon le barème CVSS v4.0. L’enjeu est massif : d’après W3Techs, cité par Cryptoast, près de 70 % des sites dont la technologie serveur est identifiée tournent sous PHP, socle de WordPress, Drupal, Joomla ou Magento.

PHP2Shell : deux portes d’entrée dans le moteur de PHP

Une divulgation précipitée par une fuite

Le 20 octobre, un message posté sur le forum Hacker News annonçait deux failles d’exécution de code à distance (RCE) pour le 22, avec une note de 10. La société watchTowr a aussitôt confirmé leur réalité, rapporte Génération NT. Le soir même, l’équipe PHP a fixé la sortie des correctifs au lendemain.

Une simple requête anonyme suffit

Les deux bugs se logent dans le traitement d’une requête web, avant même l’exécution du code du site. Le premier (CVE-2026-109618) touche la gestion d’un épuisement de mémoire, qui peut laisser PHP manipuler des données corrompues. Le second (CVE-2026-109619) laisse l’état d’une requête survivre à la libération de la mémoire : la requête suivante peut alors le réutiliser.

Selon l’avis officiel, toute installation qui sert des pages web est exposée : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le risque est maximal avec mod_php, où un exploit sans authentification a été démontré. Les chercheurs ont aussi pu lire la mémoire des processus PHP et y récupérer mots de passe ou clés d’API, selon The Hacker News.

Failles critiques PHP : les versions à installer

Les correctifs couvrent les quatre branches encore maintenues :

• PHP 8.5 : version 8.5.12 ;
• PHP 8.4 : version 8.4.27 ;
• PHP 8.3 : version 8.3.36 ;
• PHP 8.2 : version 8.2.35, une branche qui atteindra sa fin de vie le 31 décembre 2026, rappelle php.net.

Le code fautif date de plus de dix ans et quasiment toutes les versions depuis PHP 5.4 seraient touchées, d’après The Hacker News. Les branches 7.4, 8.0 et 8.1, qui ne sont plus maintenues, ont reçu des correctifs minimaux. Sous Linux, Debian conseille de chercher les CVE dans le journal du paquet plutôt que de se fier au numéro de version. Le projet PHP est net : aucun contournement n’est complet, seule la mise à jour protège.

Ce que ça change pour les entreprises et les communes

Mettre à jour WordPress ne suffit pas

Pour une PME ou une mairie, les points d’exposition sont nombreux : site vitrine, boutique en ligne, extranet, intranet, portail de démarches. La faille se situe dans l’interpréteur, pas dans le CMS : mettre à jour WordPress ou ses extensions ne corrige rien. Il faut mettre à jour PHP sur le serveur puis redémarrer Apache et PHP-FPM. En mutualisé, l’opération revient à l’hébergeur ; sur un serveur dédié ou installé dans les locaux, à l’organisation ou à son prestataire. D’où l’intérêt d’une politique de sécurité informatique qui inclut le suivi des correctifs, y compris pour les systèmes d’information des collectivités.

Premières tentatives d’attaque, services publics coupés

Cloudflare dit avoir repéré des premières tentatives d’attaque et ajouté des règles de filtrage à son pare-feu applicatif (WAF). Aux Pays-Bas, plusieurs services publics en ligne, dont l’identifiant DigiD, ont été coupés par précaution, selon la NOS citée par The Hacker News. Un signal pour les administrations françaises, déjà visées par les attaques DDoS prorusses contre les villes et services de l’État.

La France très visible, des chiffres à relativiser

Un recensement d’Infrawatch, relayé par Cryptoast, attribue à la France environ 6,6 millions des 11 millions de services PHP détectés sur Internet. Un total gonflé par Freebox OS, l’interface des box de Free. Rien ne montre à ce stade que ces box sont vulnérables, souligne le média.

Les réflexes à adopter dès maintenant

• Inventoriez vos services web en PHP, y compris les environnements de test oubliés.
• Demandez une confirmation écrite à votre hébergeur ou agence web : PHP corrigé et services redémarrés.
• Mettez à jour puis redémarrez les services. En 7.4, 8.0 ou 8.1, appliquez les correctifs rétroportés et planifiez une migration.
• Isolez d’Internet ce qui ne peut pas être corrigé tout de suite : les réglages provisoires de PHP (session.upload_progress désactivé, requêtes limitées) et un WAF réduisent le risque sans le supprimer.
• Surveillez vos journaux : requêtes multipart inhabituelles suivies d’erreurs mémoire, rafales d’erreurs HTTP 500, redémarrages inexpliqués de processus.
• Renouvelez les mots de passe et clés d’API des serveurs restés exposés en cas de doute, et cloisonnez vos serveurs web grâce à une architecture réseau d’entreprise segmentée.

Conclusion

Avec PHP2Shell, l’écart entre correctifs et premières attaques se compte en heures. Les failles critiques PHP touchent le cœur de millions de sites : si votre entreprise ou votre commune exploite un site ou un portail en PHP, traitez la mise à jour comme une urgence. Comme l’a montré la cyberattaque visant les frigos de supermarchés, ce sont souvent les systèmes que l’on oublie de mettre à jour qui ouvrent la porte.

Source : Génération NT – Alerte maximale sur le Web à cause de PHP (21 octobre 2026)
Voir aussi : The Hacker News – PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge (21 octobre 2026)
Voir aussi : IT-Connect – PHP Zero-Day Alert: Two Critical Flaws Leak Early, Emergency Patch Due October 21 (21 octobre 2026)
Voir aussi : Cryptoast – Faille php : 60% des sites impactés et la France en première ligne, que faire et faut-il s’inquiéter ? (21 octobre 2026)
Voir aussi : PHP.net – ChangeLog PHP 8, version 8.5.12 (octobre 2026)