Résumé

  • La coupure préventive du RIPE NCC a touché quatre adresses liées à son Académie, au Number Resource Organization et à l’Address Supporting Organization de l’ICANN.
  • PHP a publié ses versions corrigées le 21 octobre ; le journal du RIPE NCC situe le retour des sites au 23 octobre, au rythme des mises à jour et des dépendances.

Un correctif peut sortir en quelques heures ; remettre plusieurs sites en service suit un autre calendrier.

À 17 h 37 CEST, le 21 octobre, la page d’état du RIPE NCC signalait la mise hors ligne de quatre sites. Le journal d’incident cite academy.ripe.net, elearning-2.ripe.net, www.nro.net et aso.icann.org/aso-ac/. Le communiqué du RIPE NCC présente cette décision comme une précaution après la découverte de deux failles critiques de PHP. L’organisation dit n’avoir relevé aucun signe d’exploitation de ces failles dans ses systèmes.

Le calendrier compte. L’avis de sécurité du projet PHP était annoncé pour le 21 octobre à 14 h UTC. Il décrit CVE-2026-109618, une corruption liée à un manque de mémoire, et CVE-2026-109619, un état périmé conservé entre des requêtes. Les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ont intégré les correctifs. Ces failles pouvaient permettre l’exécution de code à distance sur des installations web PHP.

Le journal public du RIPE NCC donne aussi la mesure du retour. Le 22 octobre, l’équipe indique que les correctifs amont sont disponibles et que la mise à jour avance au rythme des dépendances. Le 23 octobre à 9 h 22 CEST, l’Académie et le site d’e-learning sont de nouveau accessibles. À 14 h 32, le RIPE NCC marque l’ensemble des services comme rétablis.

C’est l’étape peu photogénique d’un incident : le correctif existe, mais le service attend encore son propre chemin de mise à jour. « Correctif publié » désigne un événement logiciel. « Site rétabli » désigne une décision d’exploitation, prise lorsque le code, ses dépendances et le service sont prêts ensemble.

Les quatre adresses indiquent aussi la portée de la mesure immédiate. L’Académie dispense des formations ; les deux autres sites servent de portes d’entrée au NRO et à l’ASO. Le système d’état du RIPE NCC classe l’incident parmi les « services non critiques », sous la rubrique de l’Académie. Cette étiquette aide à prioriser. Le dossier public ne précise ni l’hébergement de ces sites, ni la dépendance qui a retardé leur remise en ligne, ni l’existence d’un autre canal public pendant la coupure.

La décision, elle, est limpide : l’accès a été retiré pendant la mise à jour. Le calendrier public documente le rétablissement. Entre les deux, le chemin de déploiement reste en coulisses.