Vulnérabilité critique dans WordPress Core
.png)
Produits concernés
• WordPress Core versions 4.7.0 à 7.1.3
Prérequis
• Accès réseau au site WordPress
• Mise à jour complète du Core (full-package) en cours sur le site
• Répertoire wp-content/upgrade/ accessible depuis le web avec exécution PHP
Risques
• Exécution de code arbitraire
• Déploiement de malware sur l'actif
• Exfiltration de données sensibles
Résumé
Une vulnérabilité critique de type "Exécution de code arbitraire" affectant la solution WordPress a récemment été publiée par l'éditeur WordPress le 28 octobre 2026.
La solution WordPress permet de créer et de gérer des sites web, des blogs et des boutiques en ligne.
CVE-2026-119977 : Une vulnérabilité dans le mécanisme de mise à jour du Core de la solution WordPress pourrait permettre à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur. Lors d'une mise à jour complète, WordPress extrait temporairement une copie de ses fichiers, dont le script d'installation, dans un répertoire prévisible et accessible depuis le web. L'exploitation de cette CVE pourrait permettre à l'attaquant, en sollicitant ce script pendant la fenêtre de mise à jour, de prendre le contrôle du serveur web et d'accéder aux données du site.
À l'heure actuelle, des traces d'exploitation par des groupes d'attaquants ont été identifiées. La CISA a ajouté cette vulnérabilité à son catalogue KEV le 3 novembre 2026.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un équipement est compromis, vous pouvez :
• Rechercher dans les journaux d'accès du serveur web des requêtes vers des fichiers PHP situés sous /wp-content/upgrade/, en particulier setup-config.php et install.php
• Considérer toute requête POST vers un setup-config.php situé dans ce répertoire ayant reçu une réponse HTTP 200 comme un indicateur fort de compromission
• Vérifier l'absence de comptes administrateurs, d'extensions ou de fichiers PHP inattendus, ainsi que l'intégrité du fichier wp-config.php
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour WordPress vers les versions :
• 7.1.4
• 7.0.8
• 6.9.11
• 6.8.12
• 6.7.11
• 6.6.11
• 6.5.14
• 6.4.14
• Versions correctives des branches antérieures, jusqu'à 4.7.39
Les versions 4.6 et antérieures ne reçoivent pas de correctif et doivent être migrées vers une version supportée.
Mitigation
La mise à jour du Core ouvre elle-même la fenêtre d'exploitation. Il est recommandé de :
• Bloquer l'accès web au répertoire wp-content/upgrade/ (configuration du serveur web ou .htaccess) avant de lancer la mise à jour
• Réaliser la mise à jour en fenêtre de maintenance, avec un accès Internet à wp-admin temporairement restreint
Un pare-feu applicatif fonctionnant sous forme d'extension WordPress ne protège que s'il est chargé avant WordPress, l'exploit sollicitant directement le fichier PHP.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
