SPIP : une faille critique « sans conditions » activement exploitée, le CERT-FR sonne l'alerte

Dix jours à peine après un premier avis, le CERT-FR publie une nouvelle alerte sur SPIP : une vulnérabilité d'exécution de code à distance, exploitable sans authentification ni condition préalable, et déjà activement exploitée dans la nature. Les sites tournant sous SPIP 4.4.20 doivent être mis à jour sans délai.

Ce qui s'est passé

Le 21 août 2026, le CERT-FR publie l'avis CERTFR-2026-AVI-1063, consacré à une vulnérabilité découverte dans SPIP, le système de gestion de contenu très répandu chez les médias associatifs, ONG et collectivités françaises. La faille permet à un attaquant de provoquer une exécution de code arbitraire à distance, et l'éditeur confirme qu'elle est activement exploitée.

Selon le billet de l'équipe SPIP, la faille a été signalée anonymement via le dispositif de déclaration de vulnérabilités de l'ANSSI. Elle touche la version 4.4.20 et se distingue par deux caractéristiques aggravantes : elle est qualifiée d'« universelle » (aucune condition particulière requise pour l'exploiter) et de « pré-authentification » (aucun compte utilisateur n'est nécessaire). Point notable, l'« écran de sécurité » intégré à SPIP — le filtre censé bloquer les tentatives d'exploitation courantes — ne protège pas contre cette faille. Aucun CVE n'est encore attribué à ce stade. La version corrective, SPIP 4.4.21, est disponible depuis le 20 août 2026.

Cette alerte survient seulement dix jours après un précédent avis, CERTFR-2026-AVI-0995, qui documentait trois failles critiques distinctes (RCE, SSRF, injection SQL) corrigées dans la version 4.4.18. Deux avis critiques en moins de deux semaines sur le même CMS : le rythme de correction est soutenu, mais il impose aussi une vigilance de mise à jour quasi continue aux administrateurs de sites SPIP.

Pourquoi c'est important pour les DPO et RSSI

SPIP équipe des milliers de sites en France, souvent gérés par des structures aux ressources techniques limitées : associations loi 1901, collectivités territoriales, médias indépendants. Beaucoup de ces sites hébergent des données personnelles — espaces adhérents, formulaires de contact, listes de diffusion, parfois des données sensibles pour les associations d'aide aux personnes. Une exécution de code à distance sans authentification ouvre la voie à une compromission complète du serveur, avec un accès potentiel à l'ensemble de ces données.

Sur le plan réglementaire, une exploitation réussie de cette faille constituerait une violation de données au sens de l'article 33 du RGPD, avec l'obligation de notifier la CNIL sous 72 heures si un risque pour les personnes concernées est identifié. L'article 32 (sécurité du traitement) impose par ailleurs de maintenir ses outils à l'état de l'art — une exigence difficile à tenir quand deux avis critiques tombent en dix jours sur le même logiciel. Les organisations soumises à NIS 2 doivent en outre évaluer leurs obligations de notification à l'ANSSI en cas d'incident significatif.

Pour les associations et les collectivités territoriales, souvent démunies face à ce type d'alerte technique, la difficulté est double : identifier rapidement si leur site est concerné, puis mobiliser la compétence technique nécessaire pour appliquer le correctif — un défi quand le webmaster est bénévole ou que la mise à jour dépend d'un prestataire externe.

Ce que ça change pour les organisations

Trois actions s'imposent sans délai pour toute structure utilisant SPIP :

Vérifier en priorité la version installée. Toute instance en 4.4.20 (ou antérieure, si les correctifs précédents n'ont pas été appliqués) doit être mise à jour vers la version 4.4.21, disponible via le script spip_loader ou en téléchargement direct sur le site de l'éditeur.

Ne pas se reposer sur l'écran de sécurité intégré. L'éditeur est explicite : ce mécanisme ne bloque pas cette faille. La seule protection efficace est la mise à jour.

Documenter la démarche et surveiller les journaux d'accès pour détecter d'éventuelles tentatives d'exploitation antérieures à la mise à jour, en particulier si le site n'a pas été patché depuis plusieurs semaines. Si une compromission est suspectée, la procédure de gestion de violation de données doit être déclenchée sans attendre confirmation définitive, le délai de 72 heures courant dès la connaissance de l'incident.

Ce que Leto pense de cette décision

Deux avis critiques sur le même CMS en dix jours, dont un qualifié d'« universel » et déjà exploité en conditions réelles, cela ne relève pas de la mauvaise série : cela révèle une base d'utilisateurs peu équipée pour absorber ce rythme de correctifs. SPIP sert justement les structures qui ont le moins de moyens pour suivre l'actualité CERT-FR au jour le jour. Le vrai sujet n'est pas la réactivité de l'éditeur, plutôt bonne ici, mais l'écart croissant entre la vitesse à laquelle les failles sont divulguées et exploitées, et la capacité réelle des petites structures à patcher dans les mêmes délais. Pour les DPO qui accompagnent des associations ou des communes, c'est un rappel : la conformité RGPD sur ces terrains passe d'abord par un inventaire à jour des outils utilisés et par des relations contractuelles claires avec les prestataires techniques chargés des mises à jour.

Sources : CERT-FR, avis CERTFR-2026-AVI-1063 ; Blog SPIP, mise à jour 4.4.21