Faille WordPress exploitée : pourquoi passer à la version 7.1.4 sans attendre

Fin octobre, WordPress a publié une version de sécurité, la 7.1.4. Quelques jours plus tard, le 3 novembre, l'agence américaine de cybersécurité (CISA) a ajouté la faille principale corrigée par cette version à sa liste des vulnérabilités activement exploitées. Autrement dit : ce n'est plus une menace théorique, des attaquants s'en servent en ce moment même. Si vous avez un site WordPress, voici ce qu'il faut savoir et ce qu'il faut faire, sans jargon inutile.

Ce qui se passe, en clair

Cette fois, le problème ne vient pas d'une extension mal codée mais du cœur de WordPress lui-même. Il concerne un moment bien précis : la mise à jour complète du logiciel.

Quand WordPress se met à jour, il dépose temporairement ses fichiers d'installation dans un dossier nommé wp-content/upgrade. Sur beaucoup d'installations, ce dossier est accessible depuis Internet. Pendant les quelques secondes où ces fichiers sont présents, un pirate qui les atteint peut détourner l'installateur, le connecter à une base de données qu'il contrôle, puis exécuter son propre code sur le serveur. Il n'a besoin ni d'identifiant ni d'aucune action de votre part.

Les spécialistes parlent de « condition de concurrence » : l'attaquant fait la course avec WordPress et tente d'arriver avant que le ménage soit fait. La faille porte la référence CVE-2026-119977 et obtient une note de gravité de 8,1 sur 10.

Qui est concerné ?

Le périmètre est très large : toutes les versions de WordPress de la 4.7 jusqu'à la 7.1.3 incluse. La 4.7 date de fin 2016. En pratique, quasiment tous les sites qui n'ont pas encore reçu la 7.1.4 sont exposés.

Les chiffres relevés par les éditeurs de pare-feu donnent une idée de l'ampleur : plusieurs dizaines de milliers de tentatives bloquées en une seule journée. Ces chiffres mesurent les attaques repoussées, pas le nombre de sites piratés, mais ils montrent que des robots scannent le web à grande échelle à la recherche de sites vulnérables. Avec plusieurs centaines de millions de sites qui tournent sous WordPress dans le monde, les attaquants n'ont pas besoin de vous viser personnellement : il leur suffit de tomber sur vous.

« Mais j'ai les mises à jour automatiques »

C'est une bonne nouvelle, mais ne la prenez pas pour acquise. Les mises à jour automatiques peuvent être désactivées par une extension, bloquées par un problème de droits sur les fichiers, ou ne concerner que les versions mineures selon la configuration. Le seul moyen d'en être sûr est d'aller voir : dans votre tableau de bord, menu Tableau de bord > Mises à jour, la version installée est indiquée en haut de la page.

Point important : la faille s'exploite précisément pendant une mise à jour. Un site qui s'est mis à jour récemment a donc pu être exposé pendant l'opération elle-même. D'où l'intérêt d'un petit contrôle après coup.

Les bons réflexes, étape par étape

1. Faites une sauvegarde complète (fichiers et base de données) avant toute intervention. Si quelque chose se passe mal, vous pourrez revenir en arrière.
2. Mettez à jour vers WordPress 7.1.4 ou une version plus récente. Profitez-en pour mettre à jour vos extensions et votre thème : cette version corrige aussi une dizaine d'autres failles.
3. Contrôlez la liste des administrateurs dans le menu Utilisateurs. Un compte que vous ne connaissez pas est un signal d'alarme.
4. Vérifiez les extensions installées : une extension que vous n'avez jamais ajoutée doit vous alerter.
5. Jetez un œil au dossier wp-content/upgrade : il doit normalement être vide en dehors des mises à jour. Des fichiers PHP qui traînent là méritent une analyse.
6. Activez la double authentification pour les comptes administrateurs, si ce n'est pas déjà fait.

Pour les profils plus techniques, deux mesures complémentaires : interdire l'exécution de PHP dans le dossier wp-content/upgrade au niveau du serveur, et passer en revue les journaux d'accès à la recherche de requêtes visant des fichiers PHP dans ce répertoire. Un pare-feu applicatif aide, mais il ne remplace jamais la mise à jour.

Ce que cet épisode nous rappelle

Un site WordPress n'est pas un projet qu'on livre puis qu'on oublie. C'est un logiciel vivant, exposé en permanence sur Internet, qui demande un suivi régulier. La plupart des sites piratés ne le sont pas à cause d'une attaque sophistiquée, mais parce qu'une mise à jour n'a pas été faite à temps.

Pour une TPE, un artisan ou une association, le temps manque souvent, et c'est bien normal. Mais un site compromis coûte cher : perte de référencement, messages frauduleux envoyés à vos clients, réputation entamée, et parfois obligation de déclarer une fuite de données au titre du RGPD si des informations personnelles ont été exposées.

L'hébergement joue aussi un rôle. Un serveur bien configuré, avec des règles qui limitent l'exécution de scripts là où elle n'a rien à faire, des sauvegardes automatiques et une surveillance active, réduit fortement la surface d'attaque, même quand une faille comme celle-ci apparaît.

Ouioweb peut s'en charger pour vous

Chez Ouioweb, nous hébergeons les sites de nos clients sur nos propres serveurs, installés dans des datacenters en France, avec des sauvegardes régulières et une équipe joignable à Poitiers. Notre offre de maintenance WordPress couvre justement ce type de situation : mises à jour du cœur, des extensions et du thème, contrôle de sécurité, sauvegardes avant chaque intervention et restauration en cas de pépin.

Vous n'êtes pas encore chez nous ? Nous migrons votre site gratuitement et en profitons pour faire le point sur son état de sécurité.