Le mercredi 21 octobre 2026, le projet PHP a annoncé deux failles de sécurité critiques. Plusieurs sites institutionnels, en Suisse comme à l’étranger, se sont mis hors ligne par précaution. Vous vous demandez donc peut-être si ces failles PHP exposent vos données. Voici la situation de chacun de nos systèmes, puis ce que vous pouvez vérifier chez vos autres fournisseurs.
Ce que permettent les failles PHP annoncées le 21 octobre
PHP est le langage qui fait tourner une grande partie du web, dont WordPress et beaucoup de sites de communes, d’écoles ou d’associations. Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, touchent en effet le langage lui-même et non une application en particulier. Elles permettent à un attaquant d’exécuter son propre code sur un serveur, à distance et sans aucun identifiant. Le projet PHP leur attribue ainsi une note de 9,2 sur 10, soit le niveau critique.
Les versions corrigées sont désormais PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour les branches plus anciennes, le projet ne publie plus de version officielle. Selon l’annonce du projet PHP, aucune parade complète n’existe en dehors de la mise à jour. Plusieurs sociétés de sécurité ont d’ailleurs signalé des tentatives d’exploitation dès les premières heures.
Votre logiciel sai n'est pas concerné par les failles PHP
sai, le logiciel que vous utilisez au quotidien, n’utilise pas PHP. Il repose plutôt sur d’autres technologies : Java pour le serveur, MariaDB pour la base de données. Le logiciel ne contient donc aucune ligne de PHP, et les failles annoncées le 21 octobre ne peuvent pas l’atteindre.
Pour vous, concrètement : vos données, votre logiciel sai et vos portails ne sont pas touchés. Vous n’avez aucune mise à jour à faire et aucune action à prendre. Le service fonctionne normalement.
Aucune technologie n’est à l’abri d’une faille, Java et MariaDB pas plus que les autres. Une faille dans un langage n’atteint cependant que les systèmes construits avec lui. Un logiciel qui gère des salaires, des dossiers d’enfants ou des données sociales n’a d’ailleurs pas les mêmes exigences qu’un site vitrine, et il n’a pas de raison de partager sa technologie.
Notre outil de suivi des demandes, Mantis : corrigé
Les demandes que vous adressez à notre support sont suivies dans un outil séparé, Mantis, qui fonctionne en PHP. Il a été mis à jour le jeudi 22 octobre au matin vers PHP 8.3.36, la version qui corrige les deux failles. Il n’y a donc plus aucun risque de ce côté.
Notre site internet : mis à jour
Notre site vitrine, celui sur lequel vous lisez cet article, est construit avec WordPress, qui fonctionne en PHP. Il est hébergé chez Infomaniak, qui a déjà installé la version corrigée de PHP sur ses serveurs. Ce site est entièrement séparé du logiciel sai : il ne contient pas vos données et n’y donne aucun accès.
Un site vitrine et un logiciel de gestion ne partagent rien
Cette séparation est la vraie protection de la semaine. Le site présente surtout nos produits, publie des articles et sert à prendre rendez-vous. Le logiciel sai tourne à part, avec sa propre technologie et ses propres accès. Une attaque qui viserait le site s’arrêterait donc au site.
Une faille dans un langage n'atteint que les systèmes construits avec lui.
Le même principe vaut aussi pour votre structure. Si le site de votre crèche, de votre commune ou de votre entreprise était touché, l’attaquant n’obtiendrait pas pour autant vos salaires ou vos dossiers. Encore faut-il que les deux ne partagent ni serveur ni mot de passe. C’est une bonne question à poser cette semaine.
Restez vigilants face aux e-mails opportunistes
Ce genre d’annonce entraîne souvent une vague de messages frauduleux. Ils imitent souvent un fournisseur connu, invoquent une mise à jour de sécurité urgente et réclament un clic ou un mot de passe. SAI ERP ne vous demandera jamais votre mot de passe par e-mail, par téléphone ou dans une fenêtre surgissante.
En cas de doute sur un message qui semble venir de nous, ne cliquez sur rien et ouvrez une demande dans Mantis. Notre équipe vous dira alors s’il est authentique.
Vos autres logiciels : trois questions à poser
Si vous utilisez d’autres logiciels ou sites web, par exemple le site internet de votre structure, demandez à leurs fournisseurs s’ils sont concernés. L’Office fédéral de la cybersécurité (OFCS) recommande d’installer les correctifs sans délai. Ces trois questions suffisent souvent à obtenir une réponse claire.
Un fournisseur qui répond vite et précisément à ces questions maîtrise son infrastructure. Un silence de plusieurs jours est en revanche un signal à prendre au sérieux. Pour toute question sur sai, notre équipe reste à votre disposition via Mantis.
Questions fréquentes
Non. sai repose sur Java et MariaDB et ne contient aucune ligne de PHP. Les failles PHP annoncées le 21 octobre 2026 (CVE-2026-109618 et CVE-2026-109619) ne peuvent pas l’atteindre. Vos données, votre logiciel et vos portails ne sont pas touchés.
Non. Aucune mise à jour ni aucune action n’est nécessaire de votre côté, et le service fonctionne normalement.
Ne cliquez sur rien et ne répondez pas. SAI ERP ne demande jamais de mot de passe par e-mail, par téléphone ou dans une fenêtre surgissante. Ouvrez plutôt une demande dans Mantis pour nous signaler le message.
S’il fonctionne en PHP, comme la plupart des sites WordPress, il l’est tant que son hébergeur n’a pas installé PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Posez la question à votre prestataire web ou à votre hébergeur.