WordPress : une faille critique impose une mise à jour immédiate

Une faille critique touchant le cœur même de WordPress vient d'être corrigée en urgence, et elle mérite l'attention de tous les gestionnaires de sites, bien au-delà des équipes techniques. Référencée CVE-2026-87902, cette vulnérabilité affiche un score de sévérité de 9,2 sur 10 — l'un des plus élevés observés cette année sur le CMS le plus utilisé au monde.

Le correctif est arrivé le 22 septembre 2026 avec la version WordPress 7.1.2, quelques jours seulement après une précédente mise à jour de maintenance. Un rythme de publication resserré qui traduit l'urgence perçue par l'équipe de sécurité du projet.

Une exécution de code possible sans aucun compte

Le point le plus préoccupant tient à la simplicité relative de l'attaque : elle peut être déclenchée par un attaquant non authentifié, sans compte utilisateur ni action d'un administrateur connecté. La faille touche la manière dont WordPress résout ses fichiers de modèle (templates) : dans certaines configurations, une requête peut forcer le chargement d'un fichier PHP situé en dehors du répertoire du thème actif, ouvrant la voie à une exécution de code à distance.

Toutes les versions comprises entre WordPress 4.7.0 et 7.1.1 sont concernées, ce qui représente un nombre considérable d'installations encore actives sur la toile, notamment sur des sites peu maintenus.

Des conditions d'exploitation réelles mais pas systématiques

L'exploitation la plus poussée suppose la réunion de plusieurs éléments techniques : la présence d'un fichier PHP exploitable sur le serveur, une structure de thème particulière déclarant des templates personnalisés, et certains réglages PHP spécifiques. Ces conditions ne sont pas rares en hébergement mutualisé, où plusieurs sites partagent parfois un même environnement serveur, un contexte déjà évoqué à propos de l'hébergement WordPress et de ses spécificités techniques.

Aucune exploitation active n'était documentée au moment de la publication du correctif, mais les chercheurs en sécurité rappellent qu'un délai de quelques jours seulement sépare généralement la divulgation d'une faille critique de son intégration dans des campagnes automatisées de scan à grande échelle.

Ce que doivent faire les administrateurs de sites

• Mettre à jour immédiatement vers WordPress 7.1.2, ou vers les versions de maintenance corrigées des branches antérieures (7.0.6, 6.9.9, etc.)
• Vérifier que les mises à jour automatiques de sécurité sont bien activées
• Rechercher, en cas de doute sur une compromission antérieure, la présence de fichiers PHP anormaux dans l'arborescence du site
• Passer en revue les journaux d'accès pour repérer d'éventuelles requêtes suspectes visant les fichiers de modèle

Cette recommandation rejoint une règle plus générale déjà rappelée à propos de la sécurité informatique des internautes et des professionnels : la mise à jour reste la première ligne de défense, bien avant les outils de protection périphériques.

Pour les sites construits ou administrés par une agence, la question de la maintenance de sécurité devrait également figurer parmi les points vérifiés dès la création du site internet, au même titre que l'hébergement ou le choix du thème.

Au-delà du cas WordPress, cet épisode illustre une réalité que les responsables de sites ont parfois tendance à sous-estimer : un CMS largement adopté devient, par construction, une cible privilégiée. La rapidité de réaction — mise à jour appliquée en quelques heures plutôt qu'en quelques semaines — reste le facteur qui fait, la plupart du temps, toute la différence.

Retrouvez d'autres analyses dans nos rubriques Développement, Webmarketing & Seo et High Tech, IA & Logiciel.

Questions fréquentes

Comment savoir si mon site WordPress est vulnérable ?

Si votre installation utilise une version antérieure à 7.1.2 (ou aux versions de maintenance corrigées des branches précédentes), elle est potentiellement concernée. La version installée s'affiche dans le tableau de bord d'administration, rubrique Mises à jour.

Faut-il désactiver son site en attendant la mise à jour ?

Ce n'est généralement pas nécessaire : la priorité est d'appliquer le correctif dès que possible. Sur un hébergement gérant les mises à jour automatiques de sécurité, l'opération est souvent déjà effectuée sans intervention manuelle.

Cette faille concerne-t-elle aussi les plugins et thèmes tiers ?

Non, la vulnérabilité CVE-2026-87902 touche le cœur de WordPress lui-même, indépendamment des extensions installées. Elle nécessite toutefois une structure de thème particulière pour être pleinement exploitable.

Sources

Cyberattaque.org —
Ettayeb.fr —
Ex2.com

Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale