SPIP : des failles corrigées, une mise à jour à préparer

Des correctifs que l’écran de sécurité ne remplace pas

L’équipe de maintenance de SPIP a publié, le 4 novembre 2026, la version 4.4.29 pour corriger plusieurs failles. Le CERT-FR relève notamment des risques d’exécution de code arbitraire à distance, d’élévation de privilèges et d’atteinte à l’intégrité des données.

Le point à transmettre au responsable du site est explicite : selon l’annonce officielle, ces failles ne sont pas prises en charge par l’écran de sécurité. La présence de cette protection ne dispense donc pas d’installer les correctifs.

Les sites concernés et les préalables techniques

L’avis du CERT-FR désigne les versions de SPIP antérieures à 4.4.29. Pour une entreprise utilisant SPIP, la première décision consiste à faire relever la version installée et à confier la préparation de l’intervention à la personne qui administre le site.

Les conditions d’attaque ne sont pas identiques pour toutes les failles : l’éditeur mentionne notamment des injections de scripts avant authentification, mais aussi des suppressions de fichiers et des injections de scripts après authentification. Il ne faut donc pas présenter l’ensemble comme exigeant, ou comme n’exigeant jamais, un compte utilisateur.

Si le site utilise le plugin Memoization, l’équipe demande de le mettre à jour en version 4.1.2 avant la mise à jour de SPIP. Ce préalable doit figurer dans la préparation de l’intervention.

Deux publications les 4 et 5 novembre

Le correctif de sécurité 4.4.29 est disponible depuis le 4 novembre. Le lendemain, l’équipe a publié SPIP 4.4.30, qui corrige notamment une erreur fatale sur la page de connexion et des erreurs SQL constatées après la publication précédente.

Pour une installation de la branche 4.4 à mettre à jour, retenez cette version corrective supplémentaire dans la préparation. Les annonces ne fixent pas de date limite : il s’agit d’une intervention de sécurité à organiser rapidement.

Préparer puis vérifier l’intervention

• Faites relever la version de SPIP et la liste des plugins utilisés ; distinguez une mise à jour de maintenance d’une migration depuis une ancienne branche.
• Effectuez une sauvegarde de précaution, conformément à la procédure officielle.
• Mettez à jour les plugins avant SPIP ; si Memoization est présent, passez-le d’abord en version 4.1.2 au minimum.
• Préparez l’installation de SPIP 4.4.30. La documentation recommande spip_loader pour installer automatiquement les fichiers et demande de reporter les réglages personnalisés dans le nouveau fichier .htaccess.
• Après installation, ouvrez l’espace privé et suivez la mise à niveau de la base si elle est proposée. Vérifiez ensuite les usages du site avant de clore l’intervention ; ne réinstallez pas une version de SPIP inférieure à celle de la base.

Pour le périmètre de sécurité confié, VCSTS entretient les protections, notamment par les mises à jour des composants couverts.