Chères et chers membres,

Du 18 au 22 octobre 2026, l’équipe d’administration système a mené une série d’interventions ciblées sur l’infrastructure d’hébergement et de messagerie : mise à jour de sécurité critique, nettoyage de ressources orphelines, migration de PHP et corrections post-migration. En voici la synthèse.

Sécurité & lutte contre le pourriel

– Mise à jour de sécurité critique de PHP : deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619, score CVSS v4.0 de 9,2) ont été corrigées dès leur publication par l’équipe PHP. La mise à jour a été déployée sur l’ensemble des serveurs web, sur les services qui en dépendent, et les sites des membres ont été basculés sur la version corrigée.
– Nettoyage des résidus de comptes clôturés : suppression des listes de diffusion, bases de données et enregistrements DNS encore rattachés à des comptes détruits. Ces reliquats pouvaient être détournés pour émettre du pourriel ; le nettoyage se fait désormais avec simulation préalable, sauvegarde avant suppression et notification.
– Neutralisation d’un envoi massif : un script d’expédition de courriels en masse a été identifié sur un hébergement, retiré, et le site concerné désactivé. La réputation d’envoi de nos serveurs, dégradée à cette occasion, a été rétablie après délistage auprès des principaux organismes de filtrage antispam.
– Comptes créés frauduleusement : l’analyse de deux comptes anormaux a permis de remonter à la cause racine — un script de suppression de comptes dont l’échec passait inaperçu, ce qui provoquait la recréation automatique des comptes. Le script a été corrigé et l’enchaînement stoppé.
– Adresses « système » orphelines : des adresses de retour de rebond, héritées d’anciennes versions de notre gestionnaire d’hébergement, ne correspondaient ni à une boîte ni à une redirection et renvoyaient une erreur « utilisateur inconnu ». Elles ont été converties en alias ordinaires, modifiables par le membre.

Messagerie & listes de diffusion

– File d’attente saturée : la file d’attente d’un serveur de messagerie s’est mise à croître de façon anormale ; elle a été purgée et l’incident ne s’est pas reproduit.
– Autoconfiguration des clients mail : les paramètres de connexion diffusés automatiquement ont été corrigés — serveurs IMAPS (port 993) et POP3S (port 995) pour Thunderbird, et port SMTP 465 pour l’autodécouverte Outlook.
– Régénération des listes de diffusion : l’action de régénération d’une liste supprimait ses adresses sans les recréer, à cause d’une erreur non remontée par le gestionnaire de messagerie. Le défaut est diagnostiqué ; le correctif est en cours de validation avant généralisation.

Hébergement web & PHP

– Migration vers PHP 8.5 : les deux serveurs web ont été alignés sur la dernière version de PHP disponible, avec le même jeu de modules que la version précédente. Environ 235 domaines (92 comptes) ont été basculés, les environnements d’exécution ont été recréés et l’ancien moteur a été arrêté.
– Fin des versions PHP obsolètes : les domaines encore en PHP 7.0, 7.2 et 7.3 ont été basculés en 7.4 (88 domaines, 38 comptes). Ces versions, ainsi que PHP 8.1, ont été retirées du sélecteur pour les membres et restent réservées au personnel technique.
– Rétablissement des sites après migration : plusieurs sites étaient indisponibles après la bascule (erreurs 503, 500 et 403). Causes identifiées et corrigées : un plugin incompatible avec la nouvelle version, un mode « en travaux » resté actif, une directive obsolète dans un fichier de configuration web, et des permissions insuffisantes pour le serveur web sur certaines racines de comptes.
– Permissions des comptes : les permissions des répertoires racine de 505 comptes ont été normalisées, et l’outil de correction a été fiabilisé — fin d’un réglage qui rendait tous les fichiers exécutables, et meilleure prise en compte des listes de contrôle d’accès du serveur web.

Sauvegardes & panneau de gestion

– Nettoyage outillé des comptes détruits : les opérations sur les ressources orphelines (listes de diffusion, bases de données, DNS) disposent maintenant d’un mode simulation, d’une sauvegarde systématique avant suppression et d’une notification, afin d’écarter tout risque de suppression accidentelle.
– Panneau de gestion : corrections sur l’autoconfiguration de messagerie et sur la gestion des permissions présentées aux membres.

Certains chantiers se poursuivent, notamment la généralisation du correctif des listes de diffusion et la fin du nettoyage des comptes détruits. L’ensemble de ces interventions vise à renforcer la sécurité, la fiabilité et le confort d’utilisation de nos services partagés.