← Toutes les ressources

Symfony et Laravel corriges le meme jour : 9 bulletins (04/11/2026)

Publié le 5 novembre 2026 · 7 min de lecture · CyberNovaLabs.io

Neuf bulletins Symfony et un correctif Laravel le meme jour, relayes par le CERT-FR. Quatre de ces failles reparent un correctif precedent incomplet : avoir applique la mise a jour d'octobre ne suffit pas. Les versions exactes et les questions a poser.

En bref

Le 4 novembre 2026, l'equipe Symfony a publie neuf bulletins de securite dans la meme journee, et Laravel a corrige une faille permettant l'execution de code a distance.^[2][4][7] Le CERT-FR a relaye les deux le jour meme, avec un troisieme lot d'avis pour Ruby on Rails.^[1][2][3] Si votre site, votre portail client ou votre intranet a ete developpe sur mesure, il tourne tres probablement sur l'un de ces socles : la seule question qui compte cette semaine est de savoir quelle version est installee.

Ce qui a ete corrige, et dans quelles versions

Symfony est un cadre de developpement PHP ; Laravel en est un autre, qui reutilise d'ailleurs plusieurs composants de Symfony. Les deux editeurs ont publie leurs correctifs le 4 novembre 2026. Pour Symfony, les versions qui ferment ces failles sont les suivantes.^[5][6]

Pour Laravel, la faille est corrigee dans la version 13.40.0, et le correctif a ete reporte sur la branche 12.x.^[4] Le CERT-FR decrit l'ensemble des versions anterieures a 13.40.0 comme affectees.^[1]

Ces numeros sont la seule chose utile a transmettre a votre prestataire. Un developpeur lit la version installee en quelques secondes : le fichier composer.lock du projet la contient, et les commandes de diagnostic des deux cadres l'affichent.

Le piege : quatre de ces correctifs reparent un correctif precedent

C'est le point qu'une depeche ne donne pas. Sur les neuf bulletins Symfony du 4 novembre, quatre portent la mention explicite de correctif incomplet d'une faille deja publiee : CVE-2026-118513 complete CVE-2026-45063, CVE-2026-118514 complete CVE-2026-45075, CVE-2026-118517 complete CVE-2026-45066, et un bulletin sur le composant HtmlSanitizer complete CVE-2026-48761.^[7]

Consequence pratique : la phrase nous avons applique la mise a jour de securite precedente ne vous met pas a l'abri de celles-ci. Le cas de CVE-2026-118514 est parlant : le correctif de CVE-2026-45075 n'avait traite le meme defaut que dans trois attributs du code, et pas dans les regles de controle d'acces ni dans les pare-feux applicatifs.^[5] La faille restait donc ouverte la ou elle compte le plus.

C'est le deuxieme episode du genre en deux semaines. Nous avions decrit exactement ce schema pour PHP : voir notre article sur l'inventaire NCSC-NL des produits PHP au correctif incomplet. La lecon se repete : un correctif applique n'est pas une ligne a cocher definitivement, c'est une version a comparer a chaque bulletin.

Les deux failles Symfony a regarder en premier quand on est une PME

La premiere concerne les formulaires qui acceptent des fichiers (CVE-2026-118515). Le composant Serializer construisait un objet de fichier televerse a partir des donnees de la requete : un client pouvait donc designer un fichier deja present sur le serveur et le faire traiter comme s'il venait d'etre envoye.^[6] Selon ce que l'application fait ensuite de ce fichier (le stocker, le renvoyer, le deplacer), cela expose des fichiers lisibles par PHP. Si vous avez un espace client qui accepte des pieces jointes, un depot de candidatures ou un formulaire de devis avec plan joint, c'est la faille a traiter en priorite.

La seconde touche le controle d'acces (CVE-2026-118514). Une regle restreinte a la methode GET ne s'appliquait pas a la meme adresse demandee en methode HEAD, parce que le routeur sert les requetes HEAD avec le gestionnaire GET.^[5] La reponse ne contient pas de corps, mais ses en-tetes partent et le code s'execute avec tous ses effets de bord. Une page que vous croyiez reservee pouvait donc etre sollicitee sans passer par le pare-feu applicatif prevu pour elle.

Aucune de ces deux failles ne se voit depuis l'exterieur. Elles ne se detectent pas en regardant votre site : elles se lisent dans le numero de version.

Laravel : execution de code a distance ne veut pas dire que tout le monde est concerne

Le bulletin Laravel merite d'etre lu en entier avant de s'alarmer. La faille suppose deux conditions reunies dans le code de votre application : celle-ci doit exposer une route qui atteint la fonction de taches concurrentes, ce qui n'est pas le cas par defaut, et la tache lancee doit ecrire sur sa sortie standard des donnees fournies par l'utilisateur.^[4] L'editeur qualifie lui-meme ces prerequis de pratiques de developpement peu sures.

Le risque est donc reel mais conditionnel. Cela ne change rien a la mise a jour, qui reste a appliquer ; cela change la question a poser a votre prestataire, qui devient precise au lieu d'etre generale. Aucun des bulletins que nous avons lus ne fait etat d'une exploitation observee a ce jour. Ce n'est pas une raison d'attendre : un correctif public rend la faille lisible par tout le monde, y compris par ceux qui la chercheront.

Qui vous alerte, dans chacun des quatre pays

Le fait est europeen, mais le canal d'alerte reste national, et c'est ce qui change selon le pays ou vous etes etabli. En France, les avis du CERT-FR (ANSSI) sont publies sur cert.cyber.gouv.fr : ce sont eux qui ont relaye Symfony et Laravel le 4 novembre.^[1][2] En Belgique, le Centre pour la cybersecurite Belgique diffuse ses avis via le CERT.be. Aux Pays-Bas, le NCSC-NL publie ses propres avis et, cette annee, des inventaires de produits affectes. Au Luxembourg, le secteur prive et les communes s'appuient sur le CIRCL, tandis que GOVCERT.LU couvre les entites etatiques.

Si votre entite releve de NIS2, l'autorite competente et les delais de signalement dependent du pays de transposition, pas du cadre de developpement : nous avons detaille le perimetre pays par pays, par exemple pour les editeurs de logiciels et prestataires IT aux Pays-Bas. Une mise a jour appliquee a temps n'est pas un incident a declarer : c'est precisement l'interet de ne pas laisser trainer.

Chez CyberNovaLabs.io

Nous developpons des applications metier sur mesure et nous suivons les bulletins des cadres sur lesquels elles tournent : pour chaque client, la version installee est connue et comparee aux avis du CERT-FR et des editeurs. C'est aussi ce que nous verifions lors d'un audit de site existant, meme quand il a ete construit ailleurs : voir notre page logiciel sur mesure et notre offre cybersecurite. Dans le meme registre, nos articles sur les failles critiques de PHP du 21 octobre et sur la faille Drupal Commerce exploitee donnent la meme methode appliquee a d'autres briques. Si vous ne savez pas sur quoi tourne votre site, c'est le bon moment pour le decouvrir : demandez un point technique de 20 minutes.

Sources

1. CERT-FR, CERTFR-2026-AVI-1457 : Vulnerabilite dans Laravel (04/11/2026)
2. CERT-FR, CERTFR-2026-AVI-1460 : Multiples vulnerabilites dans les produits Symfony (04/11/2026)
3. CERT-FR, CERTFR-2026-AVI-1452 : Multiples vulnerabilites dans Ruby on Rails (04/11/2026)
4. Laravel, bulletin de securite GHSA-63hm-g96r-2m2q : Task Output Injection - Concurrency Process (04/11/2026)
5. Symfony, CVE-2026-118514 : HEAD Requests Bypass the methods Option of access_control and Firewalls (04/11/2026)
6. Symfony, CVE-2026-118515 : The Serializer Builds UploadedFile Objects From Request Data (04/11/2026)
7. Symfony, bulletins de securite publies le 04/11/2026 (liste)

À lire aussi