SPIP : le CERT-FR alerte sur trois failles critiques, dont une exécution de code à distance

Le CERT-FR a publié le 11 août 2026 l'avis CERTFR-2026-AVI-0995 : trois vulnérabilités critiques touchent SPIP, le système de gestion de contenu utilisé par des milliers de sites de presse, d'associations et de collectivités françaises. Exécution de code à distance, injection SQL, falsification de requêtes côté serveur — le correctif est disponible, mais chaque instance non patchée reste une porte ouverte sur des données personnelles.

Ce qui s'est passé

L'éditeur de SPIP a publié le 10 août 2026 un bulletin de sécurité critique accompagnant la sortie de la version 4.4.18. Le lendemain, le CERT-FR (ANSSI) a relayé l'alerte dans son avis AVI-0995, documentant trois catégories de risques sur toutes les versions antérieures à 4.4.18 :

• une exécution de code arbitraire à distance ;
• une falsification de requêtes côté serveur (SSRF) ;
• une injection SQL (SQLi).

Le CERT-FR n'a pas publié de détail technique complémentaire (pas de CVE listées à ce stade), signe que l'exploitation est jugée suffisamment accessible pour justifier une divulgation minimale. La seule solution recommandée est la mise à jour vers SPIP 4.4.18.

Pourquoi c'est important

SPIP est un CMS open source très implanté en France : médias associatifs, sites d'ONG, portails de collectivités territoriales et intranets d'établissements publics tournent dessus depuis plus de vingt ans. Contrairement à WordPress, sa base d'utilisateurs est concentrée sur des structures aux moyens informatiques souvent limités — exactement le profil d'organisation qui tarde à appliquer un correctif critique.

Or ces sites hébergent fréquemment des données personnelles : formulaires de contact, espaces adhérents, annuaires, parfois des données de mineurs pour les sites d'établissements scolaires ou associatifs. Une exécution de code à distance combinée à une injection SQL permet en théorie d'extraire l'intégralité d'une base de données utilisateurs. C'est très exactement le scénario que couvre l'article 32 du RGPD, qui impose des mesures techniques « adaptées à l'état de l'art » — et une vulnérabilité connue, corrigée par l'éditeur mais non appliquée, ne satisfait plus ce critère à partir du moment où l'avis est public.

Ce que ça change pour les organisations

Pour toute structure utilisant SPIP, trois actions s'imposent sans délai :

• Inventorier les instances SPIP exposées sur Internet, y compris les sites secondaires ou événementiels souvent oubliés des cartographies ;
• Mettre à jour vers la version 4.4.18 en priorité sur les instances accessibles publiquement ;
• Vérifier les logs pour détecter une éventuelle exploitation antérieure à la publication du correctif, notamment des requêtes SQL ou des appels sortants inhabituels (indicateur possible de SSRF).

Si SPIP est géré par un prestataire externe — agence web, hébergeur infogérant plusieurs sites — le contrat de sous-traitance doit prévoir l'obligation d'appliquer les correctifs de sécurité dans un délai déterminé. C'est le moment de vérifier que cette clause existe réellement, et pas seulement sur le papier.

Si une compromission est avérée sur une instance non patchée avant le 11 août, la procédure de violation de données s'enclenche : qualification du risque, documentation dans le registre interne, et le cas échéant notification à la CNIL sous 72 heures. Les organisations relevant par ailleurs de la directive NIS 2 — collectivités de taille significative, opérateurs de services essentiels — doivent également évaluer leur obligation de notification à l'ANSSI.

Ce que Leto pense de cette décision

Un CMS vieux de vingt ans, massivement utilisé par des structures à faibles moyens, avec une faille RCE non détaillée publiquement : c'est la combinaison qui produit historiquement les vagues d'exploitation automatisée les plus larges, bien plus que les failles touchant des outils d'entreprise mieux suivis. Le silence du CERT-FR sur les CVE ne doit pas être lu comme un signal de faible gravité — c'est l'inverse : quand le détail technique est retenu, c'est souvent que l'exploitation est jugée trop simple à industrialiser. Pour les DPO d'associations, de médias locaux ou de collectivités qui utilisent SPIP, ce n'est pas un ticket IT à traiter « quand on aura le temps ». Une base d'adhérents ou d'abonnés siphonnée par une faille connue et corrigée reste, pour la CNIL, la démonstration d'un manquement à l'article 32 — quels que soient les moyens de la structure.

Sources : CERT-FR — Avis CERTFR-2026-AVI-0995, Blog SPIP — Mise à jour critique de sécurité, SPIP 4.4.18