FLASH INFO FNMR : Sécurité informatique

Alerte sécurité informatique octobre 2026

Deux alertes de sécurité informatique majeures ont été publiées les 20 et 21 octobre 2026. Elles concernent potentiellement tous les cabinets et groupes d’imagerie.

La FNMR invite chaque structure à vérifier ses postes et à interroger ses éditeurs dans les prochains jours.

• Des certificats de sécurité ont été compromis. Les clés de huit autorités de certification de la société eMudhra ont été dérobées. Ces certificats garantissent qu’un site ou un serveur est bien celui qu’il prétend être (le « cadenas » HTTPS). Un attaquant pourrait se faire passer pour un service légitime et intercepter des données.
• Des failles critiques ont été corrigées dans PHP et Node.js. Ce sont deux technologies très utilisées pour faire fonctionner les sites web, portails patients et applications métier. Les failles PHP permettent, sur un serveur non mis à jour, de prendre le contrôle à distance.

Pourquoi votre cabinet est concerné

Les navigateurs (Chrome, Firefox) bloquent déjà les certificats compromis. Le risque principal se situe ailleurs : dans les logiciels et serveurs qui ne se mettent pas à jour seuls.

Un cabinet d’imagerie s’appuie sur de nombreux outils qui peuvent utiliser ces technologies :

• Le RIS (dossier patient, planning, facturation, comptes rendus) ;
• Le PACS et les serveurs de diffusion des images ;
• Le portail patient de résultats et la prise de rendez-vous en ligne ;
• Les interfaces avec les modalités, la télétransmission et les messageries sécurisées ;
• Les scripts, tableaux de bord ou outils internes développés sur mesure.

Ces outils traitent des données de santé. Une faille exploitée peut conduire à une fuite de données ou à un rançongiciel bloquant l’activité.

Ce que vous pouvez faire vous-même dès aujourd’hui

Ces gestes ne demandent pas de compétence technique. Ils concernent tous les ordinateurs du cabinet : secrétariat, consoles de lecture, postes des médecins.

• Installer les mises à jour du système (Windows Update, ou Mises à jour logicielles sur Mac), puis redémarrer chaque poste.
• Vérifier que les navigateurs (Chrome, Edge, Firefox, Safari) sont à jour, puis les fermer et les rouvrir.
• Ne pas désactiver les mises à jour automatiques, et ne jamais ignorer un avertissement de certificat dans le navigateur.
• Ne pas toucher vous-même aux consoles des modalités (scanner, IRM, échographes) : leurs mises à jour relèvent du constructeur.

Si vous avez votre propre informaticien ou un prestataire, transmettez-lui ce communiqué. Il doit en particulier mettre à jour PHP, Node.js et les certificats racines sur les serveurs du cabinet, y compris les outils développés en interne, puis redémarrer les services concernés.

Ce qu’il faut demander à vos éditeurs et prestataires

La plupart des logiciels métier sont maintenus par leur éditeur, qu’ils soient hébergés chez lui ou installés dans le cabinet. Contactez chacun d’eux par écrit (e-mail ou ticket au support) pour obtenir une réponse datée. Sont concernés : l’éditeur du RIS, celui du PACS, le portail patient, la prise de rendez-vous en ligne, et votre prestataire informatique ou hébergeur.

Questions à leur poser :

1. Vos produits utilisent-ils PHP ou Node.js ? Si oui, les correctifs du 21 octobre 2026 sont-ils installés, et à quelle date ?
2. Avez-vous retiré les certificats eMudhra compromis de vos serveurs et de vos applications (magasins de certificats, Java, Python, conteneurs) ?
3. Y a-t-il une intervention à prévoir chez nous (serveur sur site, mise à jour d’un poste client, redémarrage) ?
4. Avez-vous constaté une tentative d’intrusion liée à ces failles sur votre plateforme ?

Conservez les réponses : elles documentent votre démarche de sécurité en cas de contrôle ou d’incident. Sans réponse sous quelques jours, relancez.

Restez vigilants face aux faux messages

Les escrocs profitent de ce type d’actualité pour envoyer de faux messages « de sécurité ». Rappelez ces réflexes à toute l’équipe :

• Aucun éditeur ni organisme ne vous demandera votre mot de passe, par e-mail ou par téléphone ;
• N’installez pas un « correctif » reçu par e-mail : passez par votre prestataire ou le site officiel de l’éditeur ;
• En cas de doute sur un appel, raccrochez et rappelez l’éditeur au numéro de votre contrat ;
• Signalez tout comportement anormal : lenteurs inhabituelles, fichiers renommés, comptes bloqués.

En cas d’incident suspect, déconnectez le poste du réseau sans l’éteindre, et prévenez immédiatement votre prestataire. Si des données de patients sont concernées, la CNIL doit être notifiée sous 72 heures.