Ce qui s'est passé
Le 20 octobre, l'équipe de sécurité de PHP a annoncé une mise à jour urgente, après que des informations sur deux failles ont fuité en ligne. Les correctifs sont sortis le 21 octobre, en fin d'après-midi en Suisse. Les deux failles (CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10) permettent d'exécuter du code sur un serveur web qui fait tourner PHP, sans s'authentifier. Les premières attaques ont été signalées le jour même.
PHP fait tourner une très grande partie du web, WordPress compris. C'est pour ça que la presse en a autant parlé, et c'est normal de se demander si les outils qu'on utilise en classe sont touchés.
Pourquoi Kwiiz n'est pas concerné
Kwiiz n'est pas écrit en PHP. Notre serveur fonctionne avec Node.js, et PHP n'est installé nulle part sur nos machines : nous l'avons vérifié dès l'annonce. Ces deux failles ne peuvent donc toucher ni Kwiiz, ni vos Kwiiz, ni vos classes, ni les résultats de vos élèves.
La mise à jour qui nous concernait, faite le soir même
Le même 21 octobre, Node.js a publié sa propre mise à jour de sécurité. Elle corrige notamment une faille importante dans la décompression Brotli, utilisée partout sur le web (CVE-2026-111497). Celle-là nous concernait.
Nous l'avons installée le soir même, une fois la dernière classe terminée.
Pendant l'opération, Kwiiz a été indisponible un peu plus d'une minute et demie, vers 19 h 20. Aucune classe ne jouait. Un élève qui rendait un devoir à ce moment-là a dû renvoyer sa remise : elle est passée quelques minutes plus tard et rien n'a été perdu. Nous avons revu notre procédure pour que la prochaine mise à jour de ce genre se fasse sans coupure.
Pourquoi on vous l'écrit. Une alerte de sécurité inquiète, même quand elle ne nous concerne pas. Plutôt que de vous laisser vous poser la question, nous préférons vous dire ce que nous avons vérifié et ce que nous avons fait, avec les détails.
Pourquoi vous pouvez faire confiance à Kwiiz
- Des mises à jour suivies. Nous lisons les avis de sécurité des outils sur lesquels Kwiiz repose, et nous installons les correctifs rapidement, en dehors des heures de classe.
- Des audits réguliers. Nous relisons le code de Kwiiz sous l'angle de la sécurité plusieurs fois par an (les derniers en août et en octobre 2026). Chaque point trouvé est corrigé ou planifié.
- Des élèves sans compte. Vos élèves rejoignent avec un code et leur prénom. Ils n'ont chez nous ni adresse e-mail ni mot de passe : il n'y a rien de tel à voler.
- Des mots de passe jamais stockés en clair. Ceux des enseignants et des parents sont transformés de manière irréversible avant d'être enregistrés. Les paiements passent par Stripe : nous ne voyons jamais un numéro de carte.
- Une administration verrouillée. Les comptes de l'équipe qui gèrent Kwiiz demandent une vérification en deux étapes.
- Des données en Suisse. Kwiiz et les données de vos élèves sont hébergés à Genève, chez Infomaniak, avec le label swiss made software + swiss hosting. Les sauvegardes sont chiffrées, chaque nuit, et la base de données est aussi sauvegardée chaque heure.
- Des tests avant chaque mise en ligne. Chaque modification passe une série de tests automatiques avant d'arriver chez vous, et une mise à jour du serveur attend qu'aucune classe ne joue.
Une question ?
Si votre direction ou votre service informatique veut en savoir plus, écrivez-nous à support@kwiiz.ch. Notre fiche protection des données rassemble ce qu'une école demande en général : hébergement, sous-traitants, durée de conservation, contrat de sous-traitance.