Depuis le mercredi 21 octobre 2026, plusieurs services publics numériques français sont perturbés après la découverte de deux vulnérabilités dans le langage PHP. À Mayotte, la Caisse de sécurité sociale (CSSM) a confirmé l’indisponibilité de ses téléservices locaux et nationaux, dont ameli.fr, caf.fr et urssaf.fr. Ses lignes téléphoniques sont également coupées jusqu’à nouvel ordre.
Ce que la CSSM annonce à ses usagers
Dans une information diffusée le 22 octobre 2026, la Caisse de sécurité sociale de Mayotte explique qu’un incident de sécurité informatique détecté au niveau national rend momentanément inaccessible une partie de ses services en ligne, qu’ils soient locaux ou nationaux. Les démarches ne peuvent plus être effectuées depuis cssm.fr, caf.fr, ameli.fr ni urssaf.fr.
Le standard téléphonique est lui aussi hors service, sans date de reprise annoncée. En revanche, les accueils physiques de la caisse fonctionnent aux horaires ordinaires. La CSSM indique que ses équipes travaillent à un rétablissement dans les meilleurs délais. Côté réunionnais, le site de la CGSS affichait encore, le vendredi 23 octobre 2026 au matin, un message « Le site est momentanément indisponible » accompagné de la mention d’opérations de maintenance en cours, sans précision de durée ni d’explication publiée.
Deux vulnérabilités PHP à l’origine des coupures
L’alerte porte sur deux failles repérées dans PHP, le langage qui fait tourner une large part des sites web, des formulaires et des espaces personnels. Regroupées sous le nom « PHP2Shell » et référencées CVE-2026-109618 et CVE-2026-109619, elles concernent la gestion de la mémoire et pourraient, dans certaines conditions, permettre à un attaquant de lancer des commandes à distance sur un serveur sans disposer d’un mot de passe. Les correctifs ont été publiés dès le 21 octobre par les développeurs de PHP.
Plusieurs administrations ont préféré fermer l’accès à leurs plateformes le temps de vérifier et de mettre à jour leurs installations. À Mayotte, c’est le cas des sites de la CSSM et de la préfecture, même si leur interruption n’a pas été officiellement rattachée à ces failles. Le risque pèse sur les serveurs qui hébergent les sites, pas sur les ordinateurs ou les téléphones des usagers.
Dernier point de vigilance, et il vaut pour les cabinets comme pour les officines : les périodes de panne favorisent les messages frauduleux. Aucun SMS ni courriel réclamant des identifiants ou des données personnelles au prétexte du rétablissement d’un téléservice ne doit être suivi.
Ce qu’il faut retenir
- Depuis le 21 octobre 2026, les démarches en ligne sur cssm.fr, ameli.fr, caf.fr et urssaf.fr sont interrompues à Mayotte, de même que les lignes téléphoniques de la CSSM.
- Les accueils physiques de la CSSM restent ouverts aux horaires habituels.
- Deux failles PHP, CVE-2026-109618 et CVE-2026-109619, sont au cœur de l’alerte ; les correctifs existent depuis le 21 octobre, et il faut se méfier des SMS ou courriels qui demandent des identifiants.
Source : Le Journal de Mayotte, 22 octobre 2026.
