- Une vulnérabilité sérieuse a été découverte dans SPIP, le CMS utilisé par de nombreux sites français.
- Elle pourrait permettre à un attaquant d’exécuter du code à distance sur votre site, sans que vous vous en rendiez compte.
- L’éditeur confirme que cette faille est déjà activement exploitée : agir vite est indispensable.
Ce qui se passe
Le CERT-FR a publié le 21 août 2026 un avis de sécurité concernant SPIP, un système de gestion de contenu (CMS) open source très répandu en France, notamment dans les associations, collectivités et PME.
Une vulnérabilité a été identifiée dans ce logiciel. Selon le CERT-FR, elle permettrait à un attaquant d’exécuter du code arbitraire à distance, c’est-à-dire de prendre partiellement ou totalement le contrôle du site visé, sans avoir besoin d’un accès physique ni même d’un compte sur le site.
Ce qui rend la situation particulièrement préoccupante, c’est que l’éditeur de SPIP confirme que cette faille est activement exploitée au moment de la publication de l’avis. Cela signifie que des attaquants l’utilisent déjà concrètement, et non de manière théorique.
Attendre la prochaine maintenance planifiée pour appliquer un correctif de sécurité. Quand une faille est activement exploitée, chaque jour sans mise à jour est un jour de risque supplémentaire. La mise à jour doit devenir votre priorité immédiate, avant toute autre tâche sur le site.
Qui est concerné ?
Toute organisation dont le site web tourne sur SPIP est potentiellement concernée. Si vous n’êtes pas certain du CMS utilisé par votre site, renseignez-vous auprès de votre prestataire web ou de la personne qui gère votre hébergement.
Si votre site est géré par un prestataire externe, contactez-le dès aujourd’hui par écrit (e-mail ou messagerie) pour lui demander explicitement si votre version de SPIP est à jour et si le correctif lié à cette vulnérabilité a été appliqué. Gardez une trace de cet échange.
Ce qu’il faut faire concrètement
Vérifiez sans délai si votre site utilise SPIP et consultez les recommandations officielles de l’éditeur pour mettre à jour vers une version corrigée. Si la mise à jour ne peut pas être faite immédiatement, évaluez avec votre prestataire la possibilité de restreindre temporairement l’accès à l’interface d’administration. Consultez l’avis complet du CERT-FR pour suivre les évolutions : CERTFR-2026-AVI-1063.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.