La mise à jour qui ouvre la porte

Une faille dans la mise à jour du cœur de WordPress permet à un inconnu d'exécuter du code sur le serveur, sans compte. Le correctif 7.1.4 est sorti le 28 octobre, et la CISA confirme que la faille est déjà exploitée.

Actualité du 4 novembre 2026 · 1 min 31 · 6 sources · 12 affirmations sourcées

En 30 secondes

La faille ne se trouvait pas dans un greffon, mais dans le mécanisme de mise à jour du cœur de WordPress.
Le correctif 7.1.4 est disponible depuis le 28 octobre, et les anciennes branches ont aussi leur version corrigée.
Un inconnu peut exploiter la faille sans compte : la mise à jour elle-même est une surface à surveiller.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliCVE-2026-119977 : condition de course de type TOCTOU dans le processus de mise à jour du cœur de WordPress, qui permet à un attaquant non authentifié d'exécuter du code sur le serveur pendant la fenêtre de mise à jour[2][3][1]
ÉtabliScore CVSS 3.1 de 8,1, gravité haute, calculé par Wordfence et repris par le NVD[3][4]
ÉtabliVersions affectées : toutes les branches de 4.7.0 à 7.1.3 ; versions corrigées de 4.7.39 à 7.0.8, et 7.1.4[3][1]
ÉtabliWordPress 7.1.4, publiée le 28 octobre 2026, est une version de sécurité ; la mise à jour immédiate est recommandée[1]
ÉtabliLa CISA a ajouté la faille au catalogue KEV le 3 novembre 2026, avec une échéance de remédiation au 6 novembre pour les agences fédérales civiles[2][5]
RapportéSelon Wordfence, 13 095 attaques visant cette faille ont été bloquées en vingt-quatre heures[5]
ÉtabliLa CISA décrit des chemins de dépôt prévisibles et joignables par le web, utilisés lors des mises à jour complètes du cœur, ce qui permet l'exécution de code pendant cette fenêtre[2][3]
InconnuLe vecteur exact employé en production n'est pas détaillé par la CISA, et le nombre de sites effectivement compromis n'est pas publié[2][5]
ÉtabliWordPress équipe 39,5 % des sites web mesurés par W3Techs, soit 58,2 % des sites dont le système de gestion de contenu est connu[6]
ÉtabliLa faille a été signalée par Umut Bayram, chercheur chez Picus Security[3][5]
ÉtabliLa faille se situe dans le processus de mise à jour du cœur, pas dans un greffon ni dans un thème[2][1][3]
ÉtabliLes anciennes branches, de 4.7 à 6.9, disposent elles aussi de versions corrigées[3]

Transcription

Un site lance sa mise à jour, et un inconnu peut exécuter du code sur le serveur. Selon Wordfence, 13 095 tentatives de ce type ont été bloquées en vingt-quatre heures.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Sur 1 000 sites web mesurés, 395 tournent sur WordPress. Et la faille ne vient pas d'un greffon : elle est dans le cœur du logiciel.

Comment on pirate un site pendant sa mise à jour ?

Depuis Internet, aucun compte n'est nécessaire. Lors d'une mise à jour complète, le cœur dépose ses fichiers dans un dossier temporaire joignable par le web. Ce dossier a un chemin prévisible, et pendant cette fenêtre, du code peut y être exécuté.

Ce qu'on sait : le correctif 7.1.4 est sorti le 28 octobre, la CISA a confirmé l'exploitation le 3 novembre, et Wordfence dit avoir bloqué 13 095 attaques en vingt-quatre heures. Ce qu'on ignore : combien de sites ont été compromis, qui attaque, et par quel vecteur exact.

Trois réflexes. Passer en 7.1.4, ou dans la dernière version de maintenance de sa branche : les branches 4.7 à 6.9 ont aussi leur correctif. Et surveiller les dépôts de mise à jour exposés sur le web.

La faille n'était pas dans un greffon. Elle était dans la mécanique qui installe la mise à jour.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : vous saviez que WordPress peut se mettre à jour tout seul ?

Les mots de l'épisode

Cœur (core): Partie centrale de WordPress, celle qui gère le site lui-même. Elle se met à jour séparément des greffons et des thèmes.
Condition de course: Défaut où deux opérations se déroulent en même temps : entre le moment où l'on vérifie une chose et celui où on l'utilise, un attaquant peut la modifier.
Greffon: Extension ajoutée à WordPress pour lui donner une fonction supplémentaire. La faille décrite ici ne vient pas d'un greffon.

Sources