En bref : pour le site d'un cabinet médical, il s'agit de sécuriser des données de santé, pas seulement une carte de visite sur le web. Vérifiez quels formulaires enregistrent des données ou les envoient par e-mail, faites confirmer par écrit l'état des correctifs PHP du serveur et, en cas de soupçon, sauvegardez immédiatement les journaux.
Quels systèmes PHP fonctionnent dans les cabinets et les centres de soins
La plupart des sites de cabinets reposent sur un CMS PHP, souvent WordPress, plus rarement TYPO3 ou Joomla. Les fonctions complémentaires sont les plus délicates : formulaires de demande d'ordonnance et d'adressage, questionnaires d'anamnèse à télécharger ou à envoyer, inscriptions aux rappels, offres d'emploi avec envoi de candidature et prise de rendez-vous en ligne.
La prise de rendez-vous est souvent un service externe simplement intégré. Les données de rendez-vous se trouvent alors chez le fournisseur. Certains cabinets utilisent toutefois des extensions de réservation qui enregistrent les rendez-vous, avec leur motif, dans la base de données de leur propre site web. C'est précisément cette différence que vous devriez connaître avant d'évaluer le risque.
Données de santé : pourquoi le site web est plus sensible qu'il n'y paraît
Une phrase comme « J'ai de nouveau besoin de mon médicament contre l'hypertension » dans le formulaire de contact est une donnée de santé. De telles indications relèvent des catégories particulières de données personnelles au sens de l'art. 9 du RGPD. Pour les médecins s'applique en outre le secret professionnel, dont la violation peut être punissable selon le § 203 StGB (code pénal allemand).
Pour le site web, cela signifie : les saisies de formulaires qui restent dans la base de données, les copies dans les extensions de formulaires, les journaux de messagerie sur le serveur et les documents envoyés sont à portée en cas d'attaque. Quiconque exécute du code sur le serveur les lit en règle générale aussi.
Faites vérifier si votre extension de formulaire enregistre en plus les saisies dans la base de données. Beaucoup le font par défaut. Ce qui n'est pas enregistré ne peut pas fuiter.
Ce qu'une panne ou une fuite de données signifie pour le cabinet
Si le site web tombe en panne, les patients appellent, et le téléphone du cabinet est de toute façon saturé. C'est pénible, mais gérable. Une attaque passée inaperçue pèse plus lourd : redirections vers des sites frauduleux sous le nom du cabinet, faux formulaires ou demandes détournées portant sur des maladies.
Un tel incident peut déclencher des obligations de notification envers l'autorité de protection des données et, selon le risque, aussi l'information des personnes concernées. Le délai de 72 heures du RGPD commence dès que vous avez connaissance de la violation. Clarifiez l'évaluation avec votre délégué à la protection des données.
Site de cabinet médical et sécurité : le vide de responsabilité typique
Dans les cabinets, il y a généralement trois intervenants, qui se sentent chacun responsables d'une partie :
| Intervenant | S'occupe en règle générale de | Souvent hors de vue |
|---|---|---|
| Prestataire informatique du cabinet | Logiciel de gestion, réseau, connecteur, postes de travail | Serveur du site web chez l'hébergeur |
| Agence web | Design, contenus, extensions | Version de PHP et redémarrage du serveur |
| Hébergeur | Exploitation du serveur | Données de formulaires et extensions du cabinet |
Avec PHP2Shell, la faille se situe précisément entre ces rôles : dans PHP sur le serveur web. Avec l'hébergement mutualisé, l'hébergeur est le plus souvent responsable, mais la confirmation de l'état des paquets, c'est à vous de la demander. Dans les centres de soins multisites, il s'y ajoute souvent l'organisme gestionnaire, qui impose ses propres règles.
Existe-t-il un pont entre le site web et le réseau du cabinet ?
Le plus souvent, le site du cabinet est hébergé chez un hébergeur et n'a pas de lien direct avec le logiciel de gestion du cabinet. Il existe cependant des exceptions à connaître : des formulaires qui transmettent automatiquement des données au logiciel de gestion, un serveur de site web dans le propre centre de données du centre de soins, ou des identifiants utilisés à la fois pour le site web, les comptes de messagerie et la maintenance à distance.
Dans de tels cas, un serveur web compromis n'est pas seulement un problème de site web. Faites vérifier conjointement par votre prestataire informatique du cabinet et par le responsable du site web quels liens existent et quels mots de passe sont utilisés plusieurs fois. Pour l'informatique du cabinet s'appliquent en outre les exigences de la Kassenärztliche Bundesvereinigung (association fédérale des médecins conventionnés en Allemagne) en matière de sécurité informatique. Dans quelle mesure elles concernent le site web, vous le clarifiez avec votre délégué à la protection des données.
Les premières heures après une alerte
- Demander à l'hébergeur si PHP est en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou si un backport est appliqué, et si tous les processus PHP ont été redémarrés.
- Si ce n'est pas confirmé : désactiver temporairement le site web ou le remplacer par une page d'information statique avec les heures de téléphone, comme le BSI (office fédéral allemand de la sécurité des technologies de l'information) le recommande pour les serveurs impossibles à corriger.
- Sauvegarder les journaux du serveur et des accès à partir du 20 octobre 2026.
- Être attentif aux signes d'une compromission : fichiers inconnus, nouveaux comptes administrateur, redirections modifiées.
- Impliquer tôt le délégué à la protection des données, pas seulement après le nettoyage.
Comment PHP SOS aide-t-il concrètement ?
- Nous clarifions avec l'hébergeur et l'agence qui applique le correctif PHP et le redémarre, et nous obtenons la confirmation avec l'état des paquets.
- Nous vérifions où se trouvent sur le serveur web les données de formulaires, les fichiers envoyés et les copies d'e-mails, et s'il existe des liens avec le réseau du cabinet.
- En cas de soupçon, nous préservons les traces, recherchons des webshells et nettoyons le serveur dans le cadre de notre assistance d'urgence pour les sites web piratés.
- Nous documentons l'incident de manière à ce que votre délégué à la protection des données puisse évaluer l'obligation de notification.
- Ensuite, nous réduisons les données conservées et durcissons le serveur, afin qu'il y ait moins en jeu la prochaine fois.
Questions fréquentes
Mon logiciel de cabinet est-il concerné par PHP2Shell ?
Le logiciel de gestion du cabinet et l'accès à l'infrastructure de télématique fonctionnent en règle générale séparément du site web. Les serveurs web PHP sont concernés, donc le plus souvent le site du cabinet et les formulaires ou portails qui y sont raccordés. Il appartient à votre prestataire informatique de vérifier s'il existe des liens entre le site web et le réseau du cabinet.
Les données du formulaire de contact sont-elles des données de santé ?
Souvent, oui. Dès qu'une demande de renouvellement d'ordonnance ou une demande de rendez-vous liée à des troubles précis permet de tirer des conclusions sur la santé, ces données relèvent des catégories particulières au sens de l'art. 9 du RGPD. Le classement exact, vous le clarifiez avec votre délégué à la protection des données.
Dois-je informer les patients si le site web a été piraté ?
Cela dépend de la question de savoir si des données personnelles sont concernées et de l'ampleur du risque pour les patients. Pour les données de santé, le risque est souvent élevé. Vous prenez la décision avec votre délégué à la protection des données et, au besoin, avec un conseil juridique.
Qui est responsable des mises à jour PHP du site du cabinet ?
Cela figure dans le contrat d'hébergement ou de maintenance. Avec l'hébergement mutualisé et l'hébergement géré, c'est le plus souvent l'hébergeur qui applique les correctifs ; avec un serveur propre, c'est le prestataire mandaté. En l'absence de règle claire, vous devriez la consigner par écrit dès maintenant.