Le mardi 20 octobre 2026, les créateurs de PHP ont annoncé une mise à jour pour deux failles critiques. Un jour plus tard, dans plusieurs pays européens, des sites d'administrations, d'hôpitaux et de médias ont été mis hors ligne par précaution. Dans cette formation, collaborateurs, administrateurs informatiques et dirigeants reviennent sur ces journées et apprennent ce qu'ils feront autrement lors de la prochaine faille critique.
PHP est le logiciel qui fait tourner environ soixante-dix pour cent de tous les sites web. Les deux failles permettaient à un cybercriminel de prendre le contrôle d'un serveur sans se connecter. L'annonce a donc agi comme un coup d'envoi : avant même la mise à jour, les cybercriminels cherchaient déjà des systèmes vulnérables.
Une telle faille concerne toute l'organisation, mais chacun n'a pas la même tâche. La formation se compose donc d'une courte introduction, de trois modules pour trois rôles et d'un test commun. Tous les modules se déroulent dans la même organisation fictive, de sorte que chaque participant voit comment son rôle s'articule avec celui des autres.
- Dans le module pour les collaborateurs (10 minutes), le portail client tombe hors ligne et, le soir, Sara reçoit un courriel avec un bouton pour télécharger la mise à jour de sécurité. Le participant apprend à reconnaître et à signaler ce type de message, même après avoir cliqué.
- Dans le module pour l'administration informatique et la sécurité de l'information (12 minutes), David et Lena doivent décider en une matinée quels systèmes seront arrêtés. Le participant apprend à mettre en balance le coût d'une intrusion et celui de l'arrêt, à mettre à jour en sécurité puis à rechercher des traces d'intrusion.
- Dans le module pour la direction (10 minutes), la direction délibère trois quarts d'heure pendant que le portail client reste en ligne et vulnérable. Le participant apprend quelles décisions la direction prend à l'avance sur l'appétence au risque, la continuité, le mandat et les fournisseurs.
Tous les participants terminent par le même test. Sur un ensemble de 25 questions, chacun en reçoit 10, et celui qui obtient 35 points sur 50 est reçu. Avec l'introduction, son module et le test, un participant y consacre environ vingt minutes.
La formation est disponible en 27 langues. PHP est l'exemple et la législation évoquée est européenne, de sorte que le contenu convient à chaque pays européen.
Qu'apprend concrètement le participant ?
- Pourquoi une seule faille dans un logiciel très répandu met tant de services hors service en même temps.
- Comment reconnaître et signaler les messages par lesquels les cybercriminels profitent de l'actualité.
- Comment déterminer rapidement, lors d'une faille critique, où tourne le logiciel, qui fournit la mise à jour et de combien de temps on dispose.
- Comment choisir, système par système, entre la mise hors ligne, un mode dégradé limité et le maintien en ligne avec un risque résiduel accepté en connaissance de cause.
- Quelles décisions la direction prend à l'avance, pour qu'une décision le jour même prenne deux minutes plutôt que trois quarts d'heure.
- Qui fait quoi lors d'une telle journée, et quand s'appliquent les obligations de notification du RGPD et de la directive NIS2.
À qui s'adresse cette formation ?
La formation s'adresse à toute l'organisation. Chaque participant suit l'introduction, le module de son rôle et le test. Les collaborateurs suivent le module sur la reconnaissance et le signalement. Les administrateurs système, les administrateurs d'applications et les responsables sécurité suivent le module pour l'administration informatique et la sécurité de l'information. Les dirigeants, directeurs et propriétaires de processus suivent le module pour la direction.
Pourquoi cette formation compte maintenant
La faille PHP n'est pas une exception. Le délai entre la divulgation d'une faille et le premier abus se raccourcit sans cesse, notamment parce que les cybercriminels utilisent l'IA. Celui qui n'arbitre qu'à l'arrivée des premiers scans est en retard.
En outre, la directive NIS2 demande aux organisations de maîtriser l'analyse des risques, la continuité d'activité et la gestion de crise, et à la direction d'y veiller. En cas d'incident significatif, une première notification est requise dans les 24 heures. La formation s'appuie sur un événement que tout le monde a encore en tête, et les leçons valent pour chaque faille critique suivante.