27 août 2026
La faille se ferme, et la mitigation passe d'abord
Le serveur d'identité du SI tournait quatre versions en arrière, avec le flux vulnérable ouvert sur l'Internet public. L'ordre a été celui d'une fuite d'eau : couper d'abord, vérifier depuis dehors, sauvegarder, puis monter — et compter ce qui reste.
Exposée, et le flux ouvert
La production servait la version 26.3.5 de son serveur d'identité, joignable depuis l'Internet public, avec le parcours de réinitialisation de mot de passe ouvert — celui que vise l'avis de sécurité CVE-2026-18963.
Monter tout de suite était tentant. Fermer le parcours d'abord coûtait deux minutes et retirait l'exposition immédiatement, quoi qu'il arrive ensuite à la migration.
Vérifier depuis dehors, pas depuis la machine
Le parcours a été fermé sur les deux périmètres, puis contrôlé depuis l'Internet public et non depuis le serveur : la page qui rendait 200 rend 400. C'est la seule vérification qui prouve quelque chose, parce que c'est celle que fait un attaquant.
Ensuite seulement : sauvegarde de la base, puis la montée jusqu'à la version 26.7.2. Trois migrations de schéma se sont enchaînées sans une exception.
Rien de perdu, et c'est compté
Après la montée : 8 comptes, 6 rattachements, 8 identifiants, 34 groupes, 14 clients, et tous les réglages du périmètre — chiffrement exigé, inscription fermée, protection contre la force brute, thème, langue, durée du lien d'invitation. Les huit surfaces publiques rendent 200, le site en production d'une cliente compris.
Aucune trace d'exploitation dans les journaux : le seul tiers à avoir sondé ce parcours visait le mauvais nom de service, et a reçu deux fois une page inexistante.
Ce qui a rouvert derrière
La faille corrigée, le « mot de passe oublié » a été rendu aux utilisateurs. Il vit cinq minutes : c'est un lien qu'on attend, devant son écran. Le lien d'invitation, lui, est passé à sept jours — on invite quelqu'un qui ne sait pas encore qu'on l'invite.
Et une panne qui n'en était pas une s'est éclaircie le même jour : les invitations partaient bien, elles arrivaient en indésirables. Le message de test s'envoyait à l'adresse d'expédition elle-même, sortait par le relais et revenait par l'entrée, où le filtre y voyait une usurpation. Le script refuse désormais ce test-là.
Un site pour votre métier ?
Parlons de
votre vitrine.
Avant de parler d'un site, parlons du vôtre : donnez-nous son adresse, et vous recevez cinq constats écrits sous 48 h ouvrées. C'est gratuit, et sans suite obligée — vous en faites ce que vous voulez, y compris rien.