Quand le correctif ne peut pas attendre : faire des heures sup., puis les récupérer

Thèmes : Santé mentaleHeures & salaire24 octobre 2026·6 min de lecture·Par David Lawrence

Le mercredi 21 octobre, beaucoup de personnes qui s’occupent de serveurs ont vu leur soirée organisée pour elles. PHP et Node.js ont tous deux publié des correctifs de sécurité ce jour-là, et chacun corrigeait des failles qui pouvaient permettre à un attaquant d’exécuter du code sur un serveur depuis l’extérieur. Si votre métier consiste à faire tourner des sites ou des API, ce n’était pas un jour pour partir à 17 heures.

Jusqu’ici, nos articles ont surtout parlé de protéger vos soirées et du repos entre deux journées de travail. Celui-ci porte sur les moments où rester tard est vraiment la bonne décision, et sur ce qui vient après.

Ce qui s’est passé le 21 octobre

PHP. Le projet PHP a publié deux avis sur GitHub, CVE-2026-109618 (opens in a new tab) et CVE-2026-109619 (opens in a new tab), tous deux jugés critiques avec un score de 9,2. La première vient de la façon dont PHP gère le manque de mémoire en pleine requête. La seconde laisse traîner, dans de la mémoire libérée, des données d’une requête terminée, que la requête suivante traitée par le même processus peut reprendre. Dans les deux cas, les avis indiquent qu’un attaquant pourrait finir par exécuter du code avec les droits du serveur web, sans se connecter. Les correctifs sont dans PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

L’analyse de Google Cloud (opens in a new tab) résume l’ampleur en une ligne : toutes les versions de PHP de la 5.4 à la 8.5.11 sont touchées, et les versions 8.1 et antérieures, arrivées en fin de vie, ne recevront pas de correctif. Elle rappelle aussi que mettre à jour le paquet ne suffit pas. Les processus PHP déjà lancés gardent l’ancien code en mémoire tant qu’on ne les redémarre pas.

Node.js. Le même jour, Node.js a publié des versions de sécurité corrigeant dix vulnérabilités (opens in a new tab), dont quatre jugées élevées. La plus grave, CVE-2026-111497, se trouve dans le décodeur Brotli fourni avec Node.js. Des données compressées mal formées peuvent le faire écrire au-delà de la fin d’un tampon interne, et un attaquant qui parvient à faire décompresser ses données par une application avec node:zlib pourrait la faire planter, lire sa mémoire ou exécuter du code. Elle touche Node.js 22, 24 et 26, et les versions corrigées sont la 22.23.4, la 24.22.1 et la 26.12.1.

Un seul mercredi, donc, et une bonne partie des serveurs du web à mettre à jour, tester et redémarrer, souvent le plus vite possible. Il fallait bien que quelqu’un s’en charge, et pour beaucoup, cela a voulu dire une longue journée, une soirée tardive, ou les deux.

Certaines heures sup. valent la peine

Nous mettons souvent en garde contre les longues journées sur ce blog, alors autant le dire clairement : une journée comme celle-là est une bonne raison de rester tard. Une faille connue qui permet à des inconnus d’exécuter du code sur vos serveurs n’attend pas sagement lundi. La corriger vite protège vos utilisateurs, vos collègues et, très probablement, votre propre week-end.

Ce qui rend ces heures sup. raisonnables, c’est qu’elles sont rares et qu’elles servent à quelque chose de concret. Une publication de sécurité est un événement, avec un début et une fin. Vous savez pourquoi vous restez, vous savez à peu près quand vous aurez fini, et vous pouvez en donner la raison après coup.

Les ennuis commencent quand l’événement est terminé mais que les heures, elles, continuent. Les serveurs corrigés tournent, et le lendemain matin il y a un compte rendu à rédiger, le travail qui a attendu une journée et quelques systèmes que quelqu’un avait oubliés. Puis une troisième faille est annoncée, ou la prochaine publication arrive. Une soirée tardive devient une semaine tardive, et cette semaine devient la norme sans que personne l’ait décidé.

Ce que coûte la longue série

Nous avons présenté les études dans des articles précédents, alors voici la version courte. Les semaines longues vont de pair avec plus d’épuisement professionnel et plus de conflits entre travail et vie personnelle, comme l’a montré l’étude norvégienne citée dans où s’arrête le travail. Des pauses trop courtes entre deux journées vont de pair avec moins de sommeil et plus d’arrêts maladie, comme nous l’avons vu dans les 11 heures entre deux journées de travail.

Il y a aussi un aspect pratique. Appliquer des correctifs sous pression demande de la rigueur : lire les avis, vérifier les versions, penser à redémarrer les processus. C’est le genre de tâche que l’on rate quand on est fatigué, et un redémarrage oublié laisse un serveur qui a l’air à jour alors qu’il fait encore tourner l’ancien code.

Comment savoir qu’il est temps de récupérer

1. Nommez l’événement. Notez pourquoi vous restez tard et à quoi ressemble « terminé » : « PHP mis à jour et processus redémarrés sur tous les serveurs ». Quand c’est vrai, les heures sup. s’arrêtent.
2. Notez les heures, même celles que personne n’a demandées. Pointez votre arrivée quand vous commencez et votre départ quand vous arrêtez, y compris la demi-heure passée sur le canapé à surveiller les journaux. On ne peut pas récupérer un temps qu’on n’a jamais noté.
3. Récupérez quelque chose dans la semaine ou les deux semaines qui suivent. Un début plus tardif le lendemain, un départ plus tôt le vendredi, ou une journée entière si la nuit a été longue. Plus vous attendez, plus il est facile d’oublier qu’on vous les doit.
4. Protégez la nuit suivante. Si vous avez fini à minuit, ne soyez pas à votre bureau à 8 heures. En France comme dans le reste de l’UE, 11 heures de repos consécutives entre deux journées sont un minimum légal.
5. Regardez le solde, pas la journée. Une soirée tardive, ça arrive. Si vos heures sup. continuent de grimper un mois après la fin de l’incident, ce n’est plus l’incident qui vous retient le soir.
6. Préparez la prochaine fois. Notez ce qui vous a ralenti : un serveur dont personne ne connaissait l’existence, une vieille version impossible à mettre à jour. Cette liste permettra à la prochaine publication de sécurité de prendre une soirée plutôt qu’un week-end.

Si votre employeur accorde un repos compensateur, le guide sur la récupération des heures et les horaires variables explique comment ces heures s’acquièrent et se prennent en général, et pourquoi il vaut mieux avoir les règles par écrit.

La place de Clockflux

La vue Santé de Clockflux tient un solde d’heures sup. cumulé : pour chaque semaine terminée, les heures faites moins l’objectif, le tout additionné. Un graphique montre l’évolution de ce solde dans le temps, avec le détail de vos heures par rapport à votre objectif pour chaque semaine récente.

Si vous avez passé la soirée de mercredi à appliquer des correctifs, cette semaine apparaîtra sur ce graphique comme un saut une fois terminée. Ce qui compte, c’est ce que fait la courbe ensuite. Si elle redescend dans les semaines suivantes parce que vous avez commencé plus tard et fini plus tôt, vous avez récupéré votre temps. Si elle continue de monter, c’est le signal pour vous arrêter et prendre une journée.

Pour récupérer une journée, laissez-la comme un jour de travail ordinaire et ne pointez pas. L’objectif du jour est retiré de votre solde, et la courbe baisse avec lui. Ne la marquez pas comme jour off dans le calendrier : un jour off est retiré de l’objectif, et le solde ne bouge pas. Le statut en haut de la vue Santé aide aussi : une période plus légère qui consomme des heures sup. déjà accumulées compte toujours comme dans les clous.

Avec l’offre gratuite, les statistiques de la vue Santé couvrent l’année en cours, et Clockflux Pro couvre tout votre historique. Pour une seule semaine, le calculateur d’heures supplémentaires additionne vos heures par rapport à votre objectif.

Pour la petite histoire, l’API de Clockflux est écrite en Go et nos sites sont servis sous forme de fichiers statiques, alors nous avons suivi celle-ci depuis les coulisses.

Si la pression des astreintes, ou le fait d’être toujours celui ou celle qui répare tout, pèse sur votre sommeil ou votre santé, parlez-en à quelqu’un : votre médecin, un professionnel de la santé mentale ou un programme d’aide aux salariés si votre employeur en propose un. Suivre vos heures peut vous montrer une tendance. Cela ne remplace pas un accompagnement.