Le 20 juillet 2026, OVHcloud a publié un retour d’expérience détaillé sur onze jours de crise. En cause : la Faille Januscape CVE-2026-53359, surnommée « Januscape », une vulnérabilité du noyau Linux affectant le moteur de virtualisation KVM. Des dizaines de milliers de serveurs et près d’un million de machines virtuelles étaient exposés. Pour un responsable de traitement hébergé dans le cloud, cet épisode touche directement vos obligations de protection des données.
Une Faille Januscape critique au cœur de la virtualisation
La vulnérabilité, de type « use-after-free », touchait le sous-système mémoire de KVM, socle de la quasi-totalité des instances hébergées. Un test interne provoquait le plantage d’un hyperviseur non corrigé en deux minutes, avec un risque d’élévation de privilège côté hôte. L’exploitation aurait donc pu compromettre la confidentialité des données de clients voisins partageant la même machine physique. OVHcloud a retenu une réponse assumée : un « patching unilatéral à impact contrôlé », soit corriger et redémarrer tout le parc sans attendre l’accord de chaque client, pour réduire la fenêtre d’exposition.
La sécurité du traitement en jeu (article 32)
L’article 32 du RGPD impose au responsable de traitement comme à son sous-traitant des mesures techniques adaptées au risque, dont la capacité à garantir la confidentialité, l’intégrité et la disponibilité des systèmes. Une faille exploitable de cette gravité rappelle que la gestion des correctifs relève d’une obligation de sécurité, pas d’une simple bonne pratique. Vous demeurez responsable du choix d’un hébergeur offrant ces garanties et de la vérification de ses engagements contractuels, au titre de l’article 28.
Indisponibilité et corruption : une atteinte réelle
Pendant l’opération, certaines machines virtuelles ne redémarraient pas et une corruption de données a été constatée sur trois clusters. Or l’indisponibilité et l’altération de données personnelles constituent bien une violation de données au sens du RGPD, au même titre qu’une fuite. Une perte d’accès temporaire à un système hébergeant des données personnelles doit être traitée comme un incident, et non écartée au prétexte qu’aucune donnée n’a été « volée ».
Notification : ce que prévoient les articles 33 et 34
Si un tel incident affecte vos traitements, l’article 33 impose de notifier la CNIL dans les 72 heures, sauf lorsque la violation n’engendre pas de risque pour les personnes. L’article 34 ajoute une information des personnes concernées quand le risque est élevé. Le sous-traitant, de son côté, doit vous alerter sans délai. Plusieurs clients d’OVHcloud n’ont d’ailleurs pas reçu la notification prévue, faute d’adresses à jour : un canal d’alerte fiable conditionne votre propre conformité.
NIS2 : une responsabilité qui se renforce
En tant que fournisseur de services d’informatique en nuage, OVHcloud entre dans le champ de la directive NIS2, désormais transposée en droit français. Les entités concernées doivent adopter des mesures de gestion des risques et notifier leurs incidents importants à l’autorité compétente dans des délais courts. NIS2 élargissant le périmètre des organismes assujettis, vérifiez dès maintenant si votre structure est concernée et articulez cette obligation avec votre dispositif RGPD.
Nos conseils pratiques Faille Januscape
- Cartographiez vos hébergeurs et sous-traitants, et repérez ceux qui traitent des données personnelles.
- Exigez une clause de notification d’incident dans vos contrats, assortie d’un délai chiffré.
- Tenez à jour les adresses de contact technique et sécurité déclarées chez chaque prestataire.
- Formalisez une procédure interne de qualification des violations, incluant les pertes de disponibilité et d’intégrité.
- Testez régulièrement vos sauvegardes et votre capacité à restaurer un service après une interruption imposée.
- Suivez les bulletins de sécurité de vos fournisseurs et rattachez la gestion des correctifs à votre registre des mesures.
Un incident bien maîtrisé par un hébergeur ne vous décharge pas de vos propres responsabilités : en protection des données, la sécurité se pilote en amont, pas dans l’urgence.
