- Plusieurs failles graves ont été découvertes dans SPIP, le CMS utilisé par de nombreux sites associatifs et institutionnels en France.
- Un attaquant peut, sans être physiquement présent, exécuter des commandes sur votre serveur, manipuler votre base de données ou forcer votre serveur à contacter des ressources externes.
- Une mise à jour est indispensable si vous gérez un site sous SPIP.
Ce qui se passe
Le CERT-FR a publié le 11 août 2026 un avis signalant plusieurs vulnérabilités dans SPIP, un système de gestion de contenu (CMS) open source très répandu en France, notamment dans les associations, les collectivités et certaines PME.
Ces failles sont sérieuses : elles permettent à un attaquant distant, c’est-à-dire sans accès physique à vos locaux, de :
- Exécuter du code arbitraire à distance : l’attaquant peut prendre le contrôle de votre serveur, installer des logiciels malveillants ou voler des données.
- Réaliser une injection SQL : il peut lire, modifier ou supprimer le contenu de votre base de données (articles, comptes utilisateurs, informations clients…).
- Effectuer une falsification de requêtes côté serveur (SSRF) : il peut forcer votre serveur à communiquer avec d’autres systèmes, potentiellement pour contourner vos protections réseau.
Beaucoup de responsables pensent que leur site SPIP est « géré par l’hébergeur » et qu’ils n’ont rien à faire. Or, la mise à jour du CMS lui-même est presque toujours de la responsabilité du gestionnaire du site ou de son prestataire web. Vérifiez qui s’en charge concrètement.
Qui est concerné ?
Toute organisation qui fait tourner un site web basé sur SPIP est potentiellement exposée. Si vous n’êtes pas sûr du CMS utilisé, demandez à votre prestataire web ou consultez le bas de page de votre site : SPIP mentionne souvent sa présence dans le pied de page.
Profitez de cette occasion pour mettre en place une veille minimale sur votre CMS : abonnez-vous aux annonces officielles de SPIP ou demandez à votre prestataire de vous alerter à chaque mise à jour de sécurité. Une heure de maintenance vaut mieux qu’une compromission.
Ce qu’il faut faire concrètement
Contactez dès aujourd’hui la personne ou le prestataire qui administre votre site SPIP et demandez-lui de vérifier la version installée et d’appliquer les correctifs disponibles. Si votre site n’est plus maintenu activement, c’est le moment de prévoir une remise à jour ou une migration. Consultez l’avis officiel du CERT-FR pour le détail technique : CERTFR-2026-AVI-0995.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.