SPIP Blog

Mise à jour corrective : sortie de SPIP 4.4.28

L'équipe maintenance — 2026-10-07T14:11:08Z

La version 4.4.28 corrige un petit bug embêtant sur les redirections des actions et sur les hébergement qui désactivent l'utilisation de la fonction phpinfo().

La version 4.4.28 apporte les améliorations ou corrections de bugs suivantes :

Quand la redirection est fixée par l'action, il ne faut pas la sanitizer car elle est de confiance (concerne notamment le plugin Bank)
Accélérer la mise à jour de réinitialisation des vieux mots de passe
Réduire le niveau de log de lecture des clés
Renforcer la clé d'hébergement quand phpinfo() est désactivée

Rappel important relatif à Mises à jour de sécurité critique : plugins Crayons et Simplog,

il est impératif de mettre à jour les plugins Crayons, Simplog si ce n'était pas déjà fait.
et également Odt2SPIP pour certaines configurations utilisant libreoffice sur le serveur…

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.28	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html

Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Mises à jour de sécurité critique : plugins Crayons et Simplog

L'équipe maintenance — 2026-10-06T12:59:20Z

Les 2 plugins font l'objet d'une mise à jour de sécurité critique. Il est impératif de les mettre à jour immédiatement, en complément de la mise à jour de SPIP en version 4.4.27

La mise à jour du plugin Crayons en version 3.5.0 corrige plusieurs failles de sécurité critiques de type :

injection SQL
upload non authentifié de documents malicieux
modification arbitraire non authentifiée de champs en base, y compris des champs non éditable, conduisant à des attaques de type :
- reconstruction de mot de passe faibles, identification et élévation de privilège
- extraction des secrets du site
- RCE

La mise à jour du plugin Simple logs en version 2.3.0 corrige une faille de sécurité critique de type :

lecture et suppression arbitraire de tout fichier de l'installation, conduisant à des attaques de type :
- réinstallation du site et création d'un compte webmestre
- extraction des secrets du site
- RCE

Mise à jour critique de sécurité : sortie de SPIP 4.4.27

L'équipe maintenance — 2026-10-06T12:59:06Z

La version 4.4.27 corrige de nombreuses failles de sécurité. Un grand merci à 0xkidz, gaspard, Doston & Thomas Sanzey pour les signalements. PS : nous avons sauté le numéro de version 4.4.26 à cause d'un petit bug de dernière minute.

Cette version corrige de nombreuses failles de type pré-authentification RCE, élévation de privilèges, XSS, injection SQLite, upload HTML anonyme, reconstruction du secret du site.

Ces failles ne sont pas prises en charge par l'écran de sécurité.

Autre information importante, des failles critiques ont aussi été corrigées dans les plugins Crayons et Simplog, voir notre article à ce sujet.

La version 4.4.27 apporte les améliorations ou corrections de bugs suivantes :

Interdire l'affichage direct des squelettes formulaires/ même pour les webmestres
Réinitialiser les vieux mots de passe en md5 des rédacteurs et des administrateurs
Masquer les valeurs sensibles dans les logs et le debug
Débuggueur : échapper la requête affichée dans le
Échappement des attributs dans le debuggueur
Redirige_formulaire est moins laxiste avec la mise en forme des urls
Ne jamais utiliser redirige_par_entete() dans une action
|balise_svg fait appel au sanitizer svg avant tout affichage
La copie_locale() abandonne si la sanitization du fichier échoue
Support des svg avec une balise en majuscule
Vérifications de légitimité sur les copie locale d'URL de documents restreints
On stocke en cache meta une version moins prédictible des meta sensible
Refuser les fichier de spip_documents avec '..'
Traduction sqlite de TIMESTAMPDIFF plus rigoureuse
Une regexp plus restrictive sur la traduction de INTERVAL dans une expression DATE_ADD ou DATE_SUB
Ne pas stocker les valeurs sensibles dans la globale meta
Un admin ne peut pas se dégrader, ie toucher aucun des champs statut, webmestre, restreintes qui le concernent
La fonction autoriser_auteur_modifier() attends un champ 'restreintes' et pas 'restreint'
Quand on mets à jour les sessions d'un auteur après modification, repartir de la base, pas des valeurs envoyées
On n'accepte plus de contexte explicite signé venant de l'extérieur (contextes systématiquement en cache)
Les autorisations génériques pour un type doivent contenir le suffixe _faire pour éviter tout risque de collision avec une autorisation générique
Sanitizer titre et sinon en ajax comme dans body
Demander le mot de passe du webmestre qui modifie des champs importants
Indiquer un contexte public 'forum' sur les traitements des champs des forum
Utiliser des preg pour nettoyer les form c'est plus robuste
Utiliser attribut_url et attribut_html partout où c'est nécessaire
Vérifier l'URL fournie dans url_site
2 coquilles sur le calcul de la prévisu (on prenait nom_site pour url_site)
Vérifier l'autorisation de joindre un document dans ajouter_documents()
Le filtre |contenu_document n'accepte pas les documents distant quand appelé avec un id_document
Quand sanitizer_document() renvoie false, on abandonne l'ajout de document
Définir un contexte public dans le calcul de la prévisu si appelée depuis le public
sanitizer_svg_dist() traite correctement les cas fichier et chaîne svg en entrée
Le sanitizer SVG supprime le PHP dans tous les cas
Sanitizer les html lors de l'upload de document
Ajout d'un sanitizer html pour l'upload de document
Validation plus stricte des referers à la journalisation, à l'agrégation et à l'affichage ; purger les lignes déjà stockées
Ne pas faire circuler en clair des valeurs techniques
Le traitement des notes ne nécessite pas propre
Il faut aussi appliquer echappe_anti_xss sur les balises SVG également
Fonctions helper pour déclarer les traitements raccourcis et typo avec ou sans contexte de modèles
Le traitement des modèles peut rendre inerte des modèles directement
Permettre de transmettre des options à propre et typo, transmises à traiter_modeles()
Option interdire_script à propre() et typo()
Un collecteur de QuotedStrings pour collecter les chaînes entre simple ou double quotes
Les contextes ajax sont stockés sur le disque
Les autorisations génériques pour un type doivent contenir le suffixe _faire pour éviter tout risque de collision avec une autorisation générique
Tester le retour de get_spip_doc() avant de l'utiliser
En mysql & sqlite échouer sans requêter si les chaînes de la requête n'ont pu être échappées correctement
S'assurer que l'on traite bien l'unité en majuscules dans _sqlite_timestampdiff
Collecteur quand il manque une balise fermante
Chaîne de langue pour le formulaire editer_auteur
Erreur sur minipage
Erreur sur produire_page sur squelette introuvable
Collecteur QuotedStrings : en contexte Sqlite '\' est une chaine bien formée (les guillemets sont échappés par un '' et pas un \')
Ne pas perdre la case décochée quand on décoche un webmestre et qu'il y a une erreur
Refuser les logins de plus de 256 caractères
Tester le retour de get_spip_doc() avant utilisation
Il faut passer $nom_champ en majuscules pour trouver le traitement
Empêcher extraire_attribut d'envoyer null à strlen
Fonctions stats_nettoyer_referer(), stats_valider_referer()
Accepter les referer commençant par 'Referer : ' c'est un cas usuel...
Fonctions traiter_raccourcis_fin() et propre_fin()

`Mettre à jour en utilisant le spip_loader`


Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.27  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.27	Maintenance active	PHP 7.4 à PHP 8.5



Mise à jour corrective : sortie de SPIP 4.4.25
L'équipe maintenance — 2026-09-25T09:36:52Z

		La version 4.4.25 corrige un petit bug embêtant sur les sites qui utilisent les URLs arborescentes.
		La release précédente avait embarqué avec elle un petit bug bien gênant sur les sites utilisant les URLs arborescentes, celui-ci est corrigé dans la version 4.4.25.
La version 4.4.25 apporte les améliorations ou corrections de bugs suivantes :
 Calcul de self() avec les urls arborescentes
 Ne pas mettre en cache les pages 404
 Retrait de fonction curl_close() inutile en PHP 8
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.25  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.



Mise à jour corrective : sortie de SPIP 4.4.24
L'équipe maintenance — 2026-09-22T14:40:47Z

		La version 4.4.24 corrige quelques bugs introduits dans les dernières versions, et réduit le délai de vérification d'une nouvelle version de SPIP.
		Et allez, une nouvelle version de SPIP, ça faisait longtemps !
À la lumière des évènements de cet été, SPIP vérifie désormais 4 fois par jour la publication d'une nouvelle version pour vous alerter au plus vite.
Pour les personnes qui reçoivent des alertes de leur hébergeur concernant des fichiers de cache considérés à tort comme malicieux, cette version devrait définitivement corriger le souci.
On prépare également un outil de mise à jour automatique qu'on espère pouvoir vous proposer rapidement, et cette release de SPIP va nous permettre de poursuivre les tests de l'outil.
Par ailleurs, cette version corrige quelques bugs qui s'étaient glissés dans les releases frénétiques du mois d'août, et quelques soucis de performance dans l'espace privé, notamment avec des plugins comme formidable et saisies.
À noter aussi une correction de bug sur les URLs arbos pour réduire un peu le trafic des robots fous qui inventent des nouvelles URLs à n'en plus finir.
La version 4.4.24 apporte les améliorations ou corrections de bugs suivantes :
 Mise en place des outils de suivi de qualité du code pour ecrire et prive
 Faire tourner le génie mise_a_jour toutes les 6 heures
 Éviter du cache sur des contextes PHP
 Éviter une boucle infinie si un collecteur ne fournit ni $ifchars ni $start_with
 Éviter une fatale sur verifier_cle_action()
 Dans l'espace privé la balise #CACHE ne fait vraiment rien
 Une coquille de parenthèse rendait une traduction de requête SQLite pour le moins hasardeuse
 Toujours appeler autoriser_exception avec un type non normalisé
 Appliquer chemin_image() sur les noms d'icônes sans extension
 Ne pas échouer à construire la minipage admin d'échec
 Corriger la déclaration de urls_connect_dist()
 Rétablir l'accès aux urls de type ?page=x/y pour les webmestres
 Notice PHP lorsqu'une url n'a pas de query string sur queue_lancer_url_http_async()
 Corrige le remplacement de document et l'ajout ou modification de vignette de document
 Correction d'empilement d'URL dans certains cas sur les urls arborescentes
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.24  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.



Mise à jour critique de sécurité : sortie de SPIP 4.4.23
L'équipe maintenance — 2026-09-02T12:30:29Z

		La version 4.4.23 corrige une faille de sécurité et un bug introduit dans la version 4.4.22 qui pouvait rendre le site public dysfonctionnel dans certains cas.
		Cette version corrige une faille de type élévation de privilèges permettant d'accéder à une RCE. Nous remercions l'ANSSI et 0xkidz pour les signalements.
Ces failles ne sont pas prises en charge par l'écran de sécurité.
La version 4.4.23 apporte les améliorations ou corrections de bugs suivantes :
 si le texte est plus long que 8ko on échappe tous les < car on n'est pas certain que le collecteur va trouver tous les modèles
 les modèles interdits sont bloqués de manière plus efficace
 ne pas interrompre la recherche sur un preg_match échoué, cela peut venir d'une erreur de preg
 la modification d'un mot de passe via id_auteur nécessite une autorisation
 ajout d'une autorisation sur formulaire de test de bigup
 nettoyage plus efficace des  sur le contenu de la prévisualisation des forums
 mise en place d'une longueur maximum par défaut des messages de forum
 ajout d'une autorisation sur les forums privés et sécuriser la prévisualisation comme sur les forums publics
 vérifier la galerie fournie dans le #ENV et n'accepter que des choses du type prive/squelettes/inclure/mediatheque-xxx
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.23  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.



Mise à jour critique de sécurité : sortie de SPIP 4.4.22
L'équipe maintenance — 2026-09-01T11:01:44Z

		La version 4.4.22 corrige plusieurs failles de sécurité. Elle apporte également une amélioration pour éviter que le cache ne soit empoisonné avec des tentatives d'exploitation des failles de SPIP 4.4.19 et SPIP 4.4.20, ce qui peut provoquer des fausses alertes de sécurité chez certains hébergeurs.
		Cette version corrige deux RCE préauthentification et une faille mineure favorisant les tentatives de phishing. Nous remercions Glop, l'ANSSI et Jules (jvoisin) pour les signalements.
Ces failles ne sont pas prises en charge par l'écran de sécurité.
Il est impératif de mettre à jour très rapidement votre SPIP, l'expérience nous montrant qu'en raison de la montée en puissance de l'IA, les failles peuvent être exploitées très rapidement.
Cette version évite également d'écrire dans les fichiers de cache de SPIP différentes tentatives infructueuses d'exploitation des failles de SPIP 4.4.19 et 4.4.20. Si votre hébergeur vous signale du code malveillant dans le dossier de cache, vous pouvez vider le cache du site, et les signalements ne devraient plus revenir.
La version 4.4.22 apporte les améliorations ou corrections de bugs suivantes :
 le formulaire d'édition d'URL personnalisée est protégé par une autorisation spécifique. Cela ne devrait pas impacter le fonctionnement des sites sauf cas particulier de workflow éditorial ; d'autres contrôles de fonctionnement ont été ajouté à ce formulaire
 le formulaire d'ajout de documents de l'espace privé est également protégé par une autorisation spécifique. Là encore cela ne devrait pas impacter le fonctionnement des sites, sauf dans le cas où le formulaire serait utilisé sur le site public, auquel cas il faudra surcharger l'autorisation par défaut.
 une gestion plus sécurisée de l'entête X-Forwarded-Host. Si votre serveur HTTP reçoit cet entête et que son utilisation repose sur SPIP, vous devez autoriser les domaines acceptés dans l'entête via la constante _ALLOWED_FORWARDED_HOST
 un mécanisme d'autorisation au cas par cas des modèles dans les forums et contribution publique, via la constante _MODELES_PUBLICS_AUTORISES qui remplace la constante _FORUM_INTERDIRE_MODELES
 la signature des filtres de squelettes pour renforcer la protection contre des tentatives d'injection. Les plugins less-css et inclure-ajaxload doivent être mis à jour pour continuer à fonctionner correctement
 une protection contre l'empoisonnement des caches avec les tentatives d'exploitation des failles pré 4.4.21
 une amélioration de la détection des directives header
 une meilleure protection des variables d'env passées dans les inclusions
 une gestion améliorée de l'autosave de formulaires, qui sont désormais stockés en JSON dans la session
 les URLs de reset de mot de passe sont désormais valides uniquement pour le domaine sur lequel elles ont été envoyées. Si vous gérez un site multidomaines, vous devez faire attention aux éventuelles redirections de la page spip_pass
 le raccourci  n'est plus interprété dans les titres et autres champs inlines.
 Appliquer strip_tags() sur le champ nom_site des forums qui n'attend aucun HTML
 Appliquer les traitements forums (#TEXTE, #TITRE, #NOM_SITE & #URL_SITE) à la prévisualisation des messages de forum
 Éviter des erreurs fatales sur certains filtres images appelées sur des fichiers .svg
 Corrections de l'interface privée sur petit écran (sur les listes de liaisons comme auteurs ou mots clés)
 Ajout d'une fonction urls_type_objet_valide() pour vérifier si le type d'objet est licite
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.22  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.



Mise à jour critique de sécurité : sortie de SPIP 4.4.21
L'équipe maintenance — 2026-08-20T12:09:12Z

		La version 4.4.21 corrige une faille de sécurité signalée anonymement via l'ANSSI.
		Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche la version 4.4.20 de SPIP.
Cette faille n'est pas prise en charge par l'écran de sécurité.
Il est impératif de mettre très rapidement votre site à jour, des tentatives d'exploitation de la faille ont déjà été constatées dans la nature.
La version 4.4.21 apporte les améliorations ou corrections de bugs suivantes :
 utiliser date() pour émuler DATE_FORMAT() en sqlite
 faire fonctionner titre REGEXP '^$' en sqlite
 autoriser la création du password d'un nouvel auteur
 simplifier attribut_url()
 compléter safe_export_env() pour traiter aussi les clés de tableaux
 ne pas capturer des headers en dehors de cas prévus (issus de la balise #HTTP_HEADER notamment)
 inclusion manquante pour svg_charger ou svg_ajouter_background
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.21  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.



Mise à jour critique de sécurité : sortie de SPIP 4.4.20
L'équipe maintenance — 2026-08-17T10:27:38Z

		La version 4.4.20 corrige une faille de sécurité signalée anonymement via l'ANSSI.
Un grand merci à Glop pour son aide à l'analyse et au correctif de la faille.
		Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche toutes les versions de SPIP.
Cette faille n'est pas prise en charge par l'écran de sécurité.
Il est impératif de mettre très rapidement votre site à jour, des tentatives d'exploitation de la faille ont déjà été constatées dans la nature.
La version 4.4.20 apporte les améliorations ou corrections de bugs suivantes :
 Ne pas redéfinir spip_interdire_cache (pouvant arriver sur des traitements longs, spécifiques mysql)
 Bigup : correction d'un bug lors du redimensionnement des images à l'upload lorsqu'elles ne contenaient aucun exif
 Dist : la page identifiants migre *vraiment* dans le repo prive
 Dist : ajout du link rel vers le flux RSS de la recherche dans le head
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.20  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.



Mise à jour corrective : sortie de SPIP 4.4.19
L'équipe maintenance — 2026-08-12T09:34:44Z

		La version 4.4.19 corrige quelques bugs introduits par la version 4.4.18, notamment un qui cassait la procédure de rappel de mot de passe.
		La version 4.4.19 apporte les améliorations ou corrections de bugs suivantes :
 Le bouton « Réinitialiser la liste des tâches » doit recharger le bloc principal de la page
 Lever un autoriser_exception() avant de modifier le mot de passe
 Si pas de meta version_installee déclencher un upgrade à partir d'une version arbitraire
 Ne pas générer de timeout sur l'update des signature de jobs
 S'assurer que autoriser() est bien chargé dans la réinitialisation de mot de passe
 Le bon niveau de log (et la bonne constante) dans la gestion des tâches de fond
 Correction du lien de documentation dans la page sauvegarder
 Ajout d'une inclusion manquante pour svg_recadrer
Mettre à jour en utilisant le spip_loader
Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5).
 spip_loader est distribué à l'adresse suivante : https://get.spip.net/

 Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP
   Branche  Version  Suivi  Compatibilité PHP  
 
   SPIP 4.4  4.4.19  Maintenance active  PHP 7.4 à PHP 8.5  
 
 
  Pour connaître le détail des versions maintenues :
  https://www.spip.net/fr_article6500.html 
Comment être tenu au courant de ces annonces ?
 C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :
  Seenthis : https://seenthis.net/people/spip
  Facebook : https://www.facebook.com/spip.net
  Mamot : https://mamot.fr/@spip
Une question, besoin d'aide ?
 En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :
  La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
  La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5 

 Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.