Ce mail provient de l'extérieur, restons vigilants ===================================================================== CERT-Renater Note d'Information No. 2026/VULN1128 _____________________________________________________________________ DATE : 10/11/2026 HARDWARE PLATFORM(S): / OPERATING SYSTEM(S): Systems running SPIP versions prior to 4.4.29. ==================================================================== https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-29.html https://blog.spip.net/Mise-a-jour-corrective-sortie-de-SPIP-4-4-30-955.html _____________________________________________________________________ SPIP Blog Du logiciel libre et de la tendresse Gazette Release Développement Communauté Ailleurs Mise à jour critique de sécurité : sortie de SPIP 4.4.29 mercredi 4 novembre 2026, par L’équipe maintenance La version 4.4.29 (too many releases ^^) corrige de nombreuses failles de sécurité. Un grand merci à 0xkidz, gaspard, Nostromo & Victor Soler Renaud - Devoteam Purple Team pour les signalements. Cette version corrige de nombreuses failles de type : élévation de privilèges ; suppression arbitraire de fichiers post-authentification ; XSS post-authentification pouvant mener à une RCE ; XSS pré-authentification ; injection SQL. Elle fixe également le bug qui faisait que le cache des contextes ajax enflait de manière démesurée et qu’il pouvait être empoisonné par des tentatives d’exploitation d’anciennes failles. Ces failles ne sont pas prises en charge par l’écran de sécurité. Remarque : si vous utilisez le plugin memoization, pensez à le mettre à jour en version 4.1.2 avant de lancer la mise à jour de SPIP. Vous pouvez consulter la liste détaillée des modifications dans les fichiers CHANGELOG suivants : ecrire 4.4.29 prive 1.1.8 bigup 3.3.15 medias 4.4.16 mots 4.3.2 porte-plume 3.1.13 revisions 3.1.15 safehtml 3.2.2 sites 4.4.8 stats 3.2.1 svp 3.2.8 Mettre à jour en utilisant le spip_loader Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5). spip_loader est distribué à l’adresse suivante : https://get.spip.net/ Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l’installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html). Résumé des versions de SPIP Branche Version Suivi Compatibilité PHP SPIP 4.4 4.4.29 Maintenance active PHP 7.4 à PHP 8.5 Pour connaître le détail des versions maintenues : https://www.spip.net/fr_article6500.html Comment être tenu au courant de ces annonces ? C’est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13 Bien sûr, les réseaux sociaux sont de la partie : Seenthis : https://seenthis.net/people/spip Facebook : https://www.facebook.com/spip.net Mamot : https://mamot.fr/@spip Une question, besoin d’aide ? En cas de problème ou de difficultés, il y aura certainement quelqu’un pour vous aider sur IRC, n’hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord. Vous pouvez aussi poster un message et échanger sur : La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6 La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 Nous vous rappelons que pour signaler une faille, il suffit d’envoyer un mail à securite@spip.net. _____________________________________________________________________ Mise à jour corrective : sortie de SPIP 4.4.30 jeudi 5 novembre 2026, par L’équipe maintenance La version 4.4.30 corrige des petits bugs de la 4.4.29 (too many releases ^^) Cette version corrige plusieurs petits soucis identifiés suite à la release d’hier : une fatale sur la page login lorsqu’on était déjà identifié des erreurs SQL avec les critère {par num} et {par sinum} un problème de performance sur le post des très gros contenus, introduit en 4.4.24 Par ailleurs, depuis la version 4.4.29, la longueur minimum requise pour les nouveaux mots de passe est de 12 caractères. On rappelle enfin que suite à la mise à jour hier, il faut upgrader le plugin memoization en version 4.1.2 minimum Vous pouvez consulter la liste détaillée des modifications dans les fichiers CHANGELOG suivants : ecrire 4.4.30 prive 1.1.9 medias 4.4.17 porte-plume 3.1.14 safehtml 3.2.3 stats 3.2.2 Mettre à jour via Autoupdate Un plugin Autoupdate permets de bénéficier de manière automatisée des mises à jour correctives et de sécurité. Le plugin est encore en phase de test, mais il a déjà été testé dans de nombreux environnements avec succès. Mettre à jour en utilisant le spip_loader Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5). spip_loader est distribué à l’adresse suivante : https://get.spip.net/ Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l’installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html). Résumé des versions de SPIP Branche Version Suivi Compatibilité PHP SPIP 4.4 4.4.30 Maintenance active PHP 7.4 à PHP 8.5 Pour connaître le détail des versions maintenues : https://www.spip.net/fr_article6500.html Comment être tenu au courant de ces annonces ? C’est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13 Bien sûr, les réseaux sociaux sont de la partie : Seenthis : https://seenthis.net/people/spip Facebook : https://www.facebook.com/spip.net Mamot : https://mamot.fr/@spip Une question, besoin d’aide ? En cas de problème ou de difficultés, il y aura certainement quelqu’un pour vous aider sur IRC, n’hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord. Vous pouvez aussi poster un message et échanger sur : La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6 La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 Nous vous rappelons que pour signaler une faille, il suffit d’envoyer un mail à securite@spip.net. ========================================================= + CERT-RENATER | tel : 01-53-94-20-44 + + 23/25 Rue Daviel | fax : 01-53-94-20-41 + + 75013 Paris | email:cert@support.renater.fr + =========================================================