Faille de mise à jour WordPress : ce qu’il faut vérifier
La CISA signale l’exploitation d’une faille du cœur de WordPress corrigée en 7.1.4. Ce que cela change pour le site de votre entreprise et que vérifier.
Si le site web de votre entreprise tourne sous WordPress, vérifiez sa version dès aujourd’hui. Le 3 novembre 2026, l’agence américaine de cybersécurité CISA a ajouté une faille du cœur de WordPress, CVE-2026-119977, à sa liste des vulnérabilités exploitées dans de vraies attaques. Le correctif est disponible depuis le 28 octobre avec WordPress 7.1.4 : pour la plupart des sites, il suffit de mettre à jour. Le vrai risque, c’est le site sur lequel personne ne s’est connecté depuis des mois.
De quoi s’agit-il
D’après BleepingComputer, il s’agit d’une situation de concurrence (race condition) dans la façon dont WordPress se met à jour. Lors d’une mise à jour complète du cœur, WordPress décompresse des fichiers dans des dossiers temporaires dont l’emplacement est prévisible et accessible depuis le web. Un attaquant qui vise cette courte fenêtre pourrait exécuter du code sur le serveur sans se connecter. L’attaque est jugée difficile, mais elle ne demande aucun mot de passe. La faille a été signalée par Umut Bayram, de Picus Security.
En publiant la version 7.1.4, l’équipe sécurité de WordPress a parlé d’une faiblesse du processus de mise à jour et recommandé de mettre à jour immédiatement. Les niveaux de gravité divergent : Webhosting.Today note que l’avis de WordPress la classe comme faible, alors que la fiche de Wordfence lui attribue 8,1 sur 10, soit un niveau élevé.
Pourquoi l’inscription par la CISA compte
L’alerte de la CISA précise que la faille a été ajoutée sur la base de preuves d’exploitation active. Les agences fédérales avaient jusqu’au 6 novembre pour la corriger. Cette échéance ne s’impose pas à une entreprise privée, mais elle montre que des attaquants s’y essaient déjà. Wordfence a indiqué à BleepingComputer avoir bloqué 13 095 tentatives en une journée ; Webhosting.Today précise qu’il s’agissait de sondages et que Wordfence ne décrit aucune intrusion réussie. C’est la quatrième faille du cœur de WordPress listée par la CISA depuis juillet.
Ce que votre entreprise doit faire
- Vérifier la version. Dans le tableau de bord WordPress, ouvrez Tableau de bord, puis Mises à jour. Il faut la 7.1.4, ou la version de sécurité de votre branche si votre hébergeur vous maintient sur une version plus ancienne. Selon Webhosting.Today, des correctifs existent jusqu’à la branche 4.7.
- Savoir qui s’en occupe. Beaucoup de petites entreprises ont un site créé il y a des années par un prestataire parti depuis. Si vous ne savez pas qui le met à jour, demandez à votre hébergeur si les mises à jour automatiques du cœur sont activées.
- Sauvegarder avant de mettre à jour. Gardez une copie des fichiers et de la base de données ailleurs que sur le serveur web.
- Poser la question du dossier de mise à jour. Patchstack conseille de bloquer l’accès web au dossier wp-content/upgrade/ au niveau du serveur. C’est le travail de l’hébergeur ou du développeur, pas une manipulation à faire depuis le tableau de bord.
- Chercher des signes d’intrusion. Comptes administrateurs inconnus, extensions que personne n’a installées, nouveaux fichiers à des endroits inhabituels ou pages qui redirigent ailleurs : tout cela mérite un examen. La mise à jour referme la faille, mais n’efface pas ce qu’un attaquant aurait laissé.
Le fond du problème
Votre site fait partie de votre informatique, même s’il est hébergé par une autre société : formulaires de contact, parfois espace client, et votre image. Intégrez-le à la même routine de mises à jour que vos postes et votre pare-feu. Notre service de gestion des correctifs couvre ce type de suivi, et notre liste de contrôle sécurité pour PME aide à repérer ce qui reste à faire.
Vous ne savez pas sur quoi tourne votre site ni qui l’entretient ? Appelez le (213) 986-4855 ou consultez notre page cybersécurité.