Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 4 novembre 2026 un avis consacré à plusieurs vulnérabilités du framework PHP Symfony. Le document renvoie à neuf bulletins de sécurité de l’éditeur et décrit trois familles de risques : atteinte à la confidentialité des données, contournement de la politique de sécurité et déni de service à distance.
Les applications concernées utilisent des composants largement employés dans les services web, notamment HttpFoundation, HttpClient, Routing, SecurityHttp, Serializer, Filesystem et Yaml. L’exposition réelle dépend des composants installés, de leurs versions et de la manière dont les applications les exploitent.
Des versions corrigées différentes selon les branches
L’avis français identifie notamment les versions antérieures à 5.4.56, 6.4.50, 7.4.23 et 8.1.11 pour plusieurs composants concernés. Il précise aussi des plages particulières pour JsonPath : les versions de la branche 7 à partir de 7.3.0 et antérieures à 7.4.23, ainsi que les versions 8 antérieures à 8.1.11.
Cette distinction importe pour les équipes chargées de la maintenance : une application Symfony n’embarque pas nécessairement l’ensemble des modules cités. Le contrôle doit porter sur les dépendances réellement présentes et sur les versions résolues par le gestionnaire de paquets, plutôt que sur le seul numéro de version déclaré pour le projet.
Ne pas confondre les correctifs du 4 novembre avec les mises à jour d’octobre
La chronologie des correctifs mérite une attention particulière. Dans une mise au point publiée le 29 octobre, l’équipe Symfony expliquait déjà qu’une correction relative à l’injection d’en-têtes de courrier électronique, annoncée plusieurs mois auparavant, n’avait pas été effectivement intégrée dans les versions initialement indiquées. L’éditeur précisait alors les versions qui embarquaient réellement cette correction.
Les références publiées le 4 novembre constituent une nouvelle série d’avis : il serait donc erroné de considérer les versions diffusées fin octobre comme suffisantes pour l’ensemble des vulnérabilités désormais recensées. Le CERT-FR renvoie directement aux bulletins de sécurité de Symfony pour identifier les correctifs correspondant à chaque composant.
Inventaire des dépendances et validation des mises à jour
Pour les exploitants de sites et d’applications métiers, la première étape consiste à inventorier les paquets Symfony effectivement déployés, puis à confronter leurs versions aux plages affectées. Les correctifs doivent ensuite être intégrés et testés dans les conditions propres à chaque application, notamment lorsque l’authentification, le routage ou la sérialisation des données sont en jeu.
L’avis CERTFR-2026-AVI-1460 décrit des vulnérabilités et des moyens de correction ; il ne documente pas, à lui seul, une campagne d’exploitation en cours. La priorité opérationnelle repose sur l’exposition des services, les composants concernés et la disponibilité des versions corrigées.
