- Une vulnérabilité a été découverte dans le framework Laravel, utilisé pour développer des sites et applications web.
- Elle pourrait permettre à un attaquant d’injecter du code malveillant côté navigateur (attaque dite XSS) à distance.
- Si votre site ou application repose sur Laravel, il est recommandé d’appliquer les correctifs disponibles dès que possible.
De quoi s’agit-il ?
Le CERT-FR a publié le 10 septembre 2026 un avis signalant une vulnérabilité dans Laravel, un framework PHP très répandu pour créer des sites web et des applications métier. La faille identifiée est de type XSS indirect à distance (aussi appelé Cross-Site Scripting réfléchi ou stocké selon les cas).
Concrètement, ce type de faille permet à un attaquant d’injecter du code dans des pages web consultées par vos utilisateurs ou vos employés, sans que ces derniers s’en aperçoivent. Cela peut, selon le contexte, affecter les visiteurs de votre site ou les personnes qui utilisent votre application interne.
Beaucoup de PME pensent qu’elles ne sont pas concernées parce qu’elles n’ont pas développé elles-mêmes leur application. Pourtant, si votre prestataire ou développeur a utilisé Laravel pour construire votre site ou votre outil métier, vous êtes potentiellement exposé. N’hésitez pas à poser la question directement à votre prestataire technique.
Qui est concerné ?
Vous êtes concerné si votre entreprise :
- dispose d’un site web ou d’une application développée avec Laravel ;
- fait appel à un prestataire ou un développeur qui utilise ce framework.
Si vous n’êtes pas sûr de la technologie utilisée, c’est le bon moment pour le vérifier auprès de votre équipe technique ou de votre prestataire.
Tenez un inventaire simple des technologies utilisées dans vos applications (langage, framework, CMS…). Cela vous permet de réagir beaucoup plus vite lorsqu’une alerte comme celle-ci est publiée, sans attendre une réponse de votre prestataire.
Ce qu’il faut faire concrètement
Contactez votre développeur ou prestataire technique en lui transmettant l’avis du CERT-FR et en lui demandant si votre application est concernée. Si c’est le cas, demandez-lui d’appliquer le correctif prévu par l’éditeur de Laravel dans les meilleurs délais. Suivez l’avis officiel publié par le CERT-FR pour connaître les versions affectées et les mesures recommandées : CERTFR-2026-AVI-1153.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.