SPIP 4.4.29 : RCE post-auth, SQLi et privesc (CERTFR-2026-AVI-1465)

Le CERT-FR a publié le 5 novembre 2026 l'avis CERTFR-2026-AVI-1465 sur de multiples vulnérabilités dans SPIP. Les versions antérieures à SPIP 4.4.29 cumulent plusieurs classes de bugs : injection de code indirecte à distance (XSS) menant à l'exécution de code, injection SQL et élévation de privilèges. L'éditeur qualifie la 4.4.29 de mise à jour critique de sécurité, publiée la veille, le 4 novembre. SPIP reste l'un des CMS les plus déployés dans le secteur public français — ministères, collectivités, universités — soit exactement le parc que vise l'avis.

Ce que corrige la 4.4.29

D'après l'annonce éditeur, le correctif couvre :

• XSS post-authentification pouvant mener à une exécution de code (RCE) — le point le plus grave du lot : une injection JavaScript dans le contexte de l'espace privé qui, chaînée, permet d'exécuter du code côté serveur.
• XSS pré-authentification — déclenchable sans compte, vecteur de vol de session de rédacteur ou d'administrateur.
• Injection SQL — manipulation des requêtes du moteur SPIP.
• Élévation de privilèges et suppression de fichier arbitraire après authentification.
• Un cache de contexte ajax qui pouvait grossir excessivement et être empoisonné par des tentatives d'exploitation d'anciennes failles.

L'éditeur précise que ces failles ne sont pas couvertes par l'écran de sécurité de SPIP : le correctif applicatif est donc la seule remédiation. Ni l'avis CERT-FR ni l'annonce éditeur ne référencent d'identifiant CVE pour ce cycle. Les failles ont été signalées par 0xkidz, gaspard, Nostromo et Victor Soler Renaud (Devoteam Purple Team).

Périmètres concernés

• SPIP en versions antérieures à 4.4.29.

Le tableau de versions de l'annonce ne liste que la branche 4.4, maintenue activement (PHP 7.4 à 8.5). Si votre instance tourne encore en 4.3.x ou 4.2.x, la remédiation n'est pas un simple git pull mais une montée de version majeure à planifier — rien n'indique un rétroportage vers ces branches.

Prérequis à l'upgrade : si vous utilisez le plugin memoization, passez-le d'abord en version 4.1.2 avant de mettre à jour SPIP, sous peine de casse. L'installeur spip_loader est en 8.0.5. Sur hébergement mutualisé, la version réellement servie s'affiche dans l'espace privé (ecrire/) — ne vous fiez pas au panneau de l'hébergeur.

Statut de l'exploitation

Ni l'avis CERT-FR ni l'annonce éditeur ne mentionnent d'exploitation active ni de PoC public à la date de publication. La prudence reste de mise : SPIP a connu en 2023-2024 un cycle de RCE non authentifiée (CVE-2023-27372) rapidement industrialisé sur des sites institutionnels français. Une chaîne XSS post-auth vers RCE est moins directe à exploiter, mais l'espace privé reste la cible la plus prévisible sur un CMS PHP indexé.

Que faire

1. Mettez à jour vers SPIP 4.4.29 — sous 48 heures si le site expose un espace privé sur Internet ou stocke des données personnelles, dans la semaine sinon.
2. Mettez à jour le plugin memoization en 4.1.2 avant la montée de SPIP si vous l'utilisez.
3. Vérifiez la version réellement servie dans /ecrire/, pas celle affichée par l'hébergeur.
4. Rotez les hachés de mots de passe des comptes rédacteurs et administrateurs si vous n'avez pas de journal d'accès à l'espace privé exploitable ; une SQLi ou une XSS post-auth non détectée aurait pu exfiltrer spip_auteurs.
5. Auditez les journaux (ecrire/tmp/spip.log) pour toute activité inhabituelle sur les URL ?action=... ou ?exec=..., points d'entrée testés en premier par les scanners.

Contexte

C'est au moins le troisième cycle de correctifs de sécurité SPIP relayé par le CERT-FR en 2026 : la branche 4.4.x avait déjà reçu l'avis CERTFR-2026-AVI-0838 en 4.4.16 début juillet, elle-même précédée de correctifs sécuritaires en 4.4.13 et 4.4.15. La cadence traduit un effort continu de l'équipe sur une base de code historique très exposée. La nouveauté de ce cycle est l'apparition explicite d'une chaîne menant à la RCE dans le périmètre post-authentification — un cran au-dessus des SQLi/XSS des avis précédents. Si votre DSI centralise le suivi CERT-FR, AVI-1465 doit remonter en priorité sur tout le parc SPIP.