SPIP enchaîne les correctifs critiques : pourquoi les sites associatifs et institutionnels doivent se mettre à jour sans attendre

Le 6 octobre 2026, l’équipe de maintenance de SPIP a publié la version 4.4.27 de ce logiciel de publication de sites, accompagnée de correctifs tout aussi urgents pour deux greffons, Crayons et Simple logs. Ce n’est pas un épisode isolé : depuis la mi-août, SPIP a connu plusieurs alertes de sécurité critiques, dont une faille que des pirates tentaient déjà d’exploiter. Pour les associations, les collectivités et les petites structures dont le site repose sur SPIP, une conclusion s’impose : ces mises à jour ne sont pas une formalité que l’on peut remettre à plus tard.

SPIP sert à publier et à faire vivre un site Internet. Son site officiel le présente sans détour : « C’est un logiciel libre, distribué sous la licence GNU/GPL. » Il revendique un usage très large, puisqu’il peut servir pour tout site, « qu’il soit associatif ou institutionnel, personnel ou marchand », et précise qu’il est « actuellement utilisé sur des dizaines de milliers de sites très divers ». Cette diffusion a un revers : chaque faille touche potentiellement un grand nombre de sites, dont certains sont tenus par des bénévoles qui n’ont ni le temps ni les compétences pour suivre l’actualité de la sécurité au jour le jour.

Un été sous tension

Le premier coup de semonce date du 17 août 2026. Ce jour-là, la version 4.4.20 corrigeait une faille signalée anonymement via l’ANSSI, l’agence nationale chargée de la cybersécurité. Le blog officiel la décrivait comme une « vulnérabilité universelle (sans conditions) pré-authentification RCE ». Traduit en langage courant : une faille d’exécution de code à distance (en anglais RCE), qui permet à un attaquant de faire exécuter ses propres instructions par le serveur, sans avoir besoin du moindre compte sur le site et sans condition particulière de configuration.

Des tentatives d’exploitation de la faille avaient déjà été constatées dans la nature, prévenait l’équipe de SPIP le 17 août 2026.

Le 20 août 2026, la version 4.4.21 corrigeait une nouvelle faille du même type, qui touchait cette fois la version 4.4.20 elle-même et avait elle aussi été signalée anonymement via l’ANSSI. Le CERT-FR, le centre gouvernemental de veille et d’alerte sur les menaces informatiques, a repris cette alerte dans un avis dont le résumé ne laisse aucune place au doute : « Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance. » Le même avis précise que l’éditeur la signale comme activement exploitée. Autrement dit, il ne s’agissait plus d’un risque théorique : des sites restés sur une version ancienne pouvaient être visés par des attaques réelles, alors même que le correctif était disponible.

Le répit a été de courte durée. Le 1er septembre 2026, la version 4.4.22 corrigeait « deux RCE préauthentification et une faille mineure favorisant les tentatives de phishing » : deux nouvelles failles d’exécution de code à distance, plus une troisième qui facilitait l’hameçonnage, c’est-à-dire les faux messages destinés à piéger les visiteurs. Dès le lendemain, le 2 septembre 2026, la version 4.4.23 bouchait une « faille de type élévation de privilèges permettant d’accéder à une RCE » : un utilisateur doté de droits limités pouvait s’en attribuer davantage, jusqu’à faire exécuter du code sur le serveur. Pour cette dernière, le blog remercie l’ANSSI et un contributeur, 0xkidz.

Octobre : le cœur et deux greffons

La version 4.4.27, publiée le 6 octobre 2026, est d’une autre ampleur. Selon l’annonce officielle, elle « corrige de nombreuses failles de type pré-authentification RCE, élévation de privilèges, XSS, injection SQLite ». Le XSS consiste à glisser un script malveillant dans les pages consultées par les visiteurs ; une injection SQLite permet de manipuler la base de données du site. Et, comme lors des alertes de l’été, l’équipe prévient : « Ces failles ne sont pas prises en charge par l’écran de sécurité. » Le dispositif baptisé écran de sécurité ne suffit donc pas : seule la mise à jour corrige le problème.

Le même jour, deux greffons, ces extensions que l’on ajoute à SPIP pour lui donner de nouvelles fonctions, recevaient leurs propres correctifs. Crayons, qui sert à modifier les contenus directement depuis les pages publiques du site, passe en version 3.5.0 pour corriger « plusieurs failles de sécurité critiques ». Simple logs, aussi appelé Simplog, passe en version 2.3.0 pour corriger « une faille de sécurité critique ». L’équipe de maintenance est catégorique : « Il est impératif de les mettre à jour immédiatement, en complément de la mise à jour de SPIP en version 4.4.27 ».

Le CERT-FR a publié son propre avis dans la foulée. Son résumé est explicite : « De multiples vulnérabilités ont été découvertes dans SPIP. » Il ajoute : « Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance ». Parmi les systèmes affectés, l’avis range, en plus du cœur de SPIP, les greffons Crayons et Simple logs dans leurs versions antérieures aux correctifs. Pour un administrateur de site, la leçon est double : mettre à jour SPIP ne suffit pas, il faut aussi passer en revue chacun des greffons installés.

Ce qui rassure, ce qui inquiète

Il faut le dire nettement : cette série d’alertes montre aussi un projet qui réagit. L’équipe de maintenance publie des annonces claires, nomme les types de failles corrigées et remercie ceux qui les signalent, ANSSI comprise. Les versions correctives se succèdent parfois d’un jour sur l’autre, et l’outil de mise à jour spip_loader suit le mouvement : l’annonce de la 4.4.27 indique que l’on peut « mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5) ». Un logiciel libre dont les failles sont trouvées, publiées et corrigées rapidement reste préférable à un logiciel dont on ne sait rien.

Le revers, c’est le rythme imposé aux personnes qui gèrent ces sites. Entre le 17 août et le 6 octobre 2026, il fallait avoir appliqué plusieurs mises à jour critiques successives, sans pouvoir compter sur l’écran de sécurité pour les failles concernées. Un site associatif mis à jour une fois par an, ou installé par un prestataire qui n’intervient plus depuis longtemps, risque fort d’être resté sur une version vulnérable. Et l’avertissement de l’été rappelle que des tentatives d’exploitation ont bien eu lieu : un site oublié n’est pas seulement en retard, il peut devenir une cible.

Que faire dès maintenant

Concrètement, si votre site tourne sous SPIP, commencez par vérifier la version installée : tout ce qui est antérieur à la 4.4.27 doit être mis à jour. Faites une sauvegarde complète des fichiers et de la base de données avant toute intervention, puis appliquez la mise à jour, par exemple avec spip_loader. Passez ensuite en revue la liste des greffons : Crayons doit être au moins en version 3.5.0 et Simple logs en version 2.3.0. Enfin, si le site est resté longtemps sans mise à jour, examinez les comptes d’administration et les fichiers récemment modifiés : une faille corrigée aujourd’hui ne répare pas une intrusion passée. L’annonce de la version 4.4.22 indique d’ailleurs que, si l’hébergeur signale du code malveillant dans le dossier de cache, on peut vider le cache du site.

Si votre association, votre entreprise ou votre commune dispose d’un site sous SPIP, ces alertes vous concernent directement. Le choix du logiciel libre reste le bon : le code est ouvert, les failles sont documentées et les correctifs gratuits. Mais il n’exonère pas d’un entretien régulier, surtout pour un site installé il y a des années et rarement revu depuis. Si vous ne savez pas sur quelle version tourne votre site, ni quels greffons y sont installés, nous pouvons vous aider à faire le point dans le cadre de l’accompagnement bénévole et gratuit d’Azure Informatique, dans la mesure de nos disponibilités.