SPIP : des failles graves corrigées, vérifiez la version de votre site

Le 5 novembre 2026, le CERT-FR, le centre de veille de l'État sur la sécurité informatique, a publié un avis sur SPIP. Ce logiciel sert à fabriquer des sites internet. On le trouve souvent chez des associations, des petites structures et des particuliers qui ont un site depuis longtemps. Si le vôtre est fait avec SPIP, cet avis vous concerne.

Ce que dit l'avis

L'avis s'appuie sur un bulletin de sécurité publié par l'équipe de SPIP le 4 novembre 2026. Il indique que plusieurs failles ont été découvertes. Certaines permettent à une personne malveillante de faire exécuter ses propres commandes sur le site, sans y être invitée. D'autres permettent de gagner des droits qu'elle ne devrait pas avoir, ou de modifier des données du site.

Les versions concernées sont toutes celles antérieures à la 4.4.29. L'avis ne détaille pas chaque faille et renvoie vers le bulletin de l'éditeur pour obtenir les correctifs.

Mon site est-il fait avec SPIP ?

Beaucoup de gens l'ignorent, surtout quand le site a été créé par quelqu'un d'autre. Quelques moyens de le savoir :

• retrouvez le mail ou la facture de la personne qui a créé le site : elle y a peut-être indiqué l'outil utilisé ;
• demandez à votre hébergeur quel logiciel fait tourner votre site ;
• si vous avez un accès d'administration, la version s'affiche en général dans l'espace privé, en bas de page.

Si votre site est un WordPress, un site sur mesure ou un site fabriqué sur une plateforme en ligne, cet avis ne vous concerne pas.

Si votre site utilise SPIP

Deux cas se présentent.

Votre site est chez un hébergeur ou géré par un prestataire. Écrivez-lui sans attendre. La question à poser est simple : « Mon site utilise SPIP, quelle version fonctionne aujourd'hui, et est-elle au moins la 4.4.29 ? » S'il répond que non, demandez la date de la mise à jour.

Vous gérez le site vous-même. Regardez la version affichée dans l'espace privé. Si elle est plus ancienne que la 4.4.29, lisez le bulletin de l'éditeur, cité dans l'avis du CERT-FR, et faites la mise à jour. Avant d'y toucher, faites une copie de sauvegarde du site et de sa base de données, pour pouvoir revenir en arrière si quelque chose se passe mal.

Si le site n'a plus de mises à jour depuis longtemps, ou si personne ne sait qui s'en occupe, posez-vous la question : vaut-il encore la peine d'être gardé en ligne tel quel ?

Après la mise à jour

Une fois le site à jour, vérifiez qu'il s'affiche normalement et que le formulaire de contact fonctionne. Changez aussi le mot de passe du compte administrateur si vous ne l'avez pas modifié depuis longtemps.

Si vous voulez de l'aide pour savoir où en est votre site, je peux en parler avec vous, dans le cadre d'un audit de sécurité.