WordPress : une faille du processus de mise à jour exploitée pour exécuter du code sur les serveurs, alerte la CISA

La CISA a ajouté le 3 novembre 2026 à son catalogue des vulnérabilités activement exploitées CVE-2026-119977, une situation de compétition dans la mise à jour du cœur de WordPress qui permet à un attaquant sans compte d’exécuter du code sur le serveur pendant l’opération. WordPress l’a corrigée dans la version 7.1.4, publiée le 28 octobre ; les versions 4.7 à 7.1.3 sont touchées.

Ce qui s’est passé

L’agence américaine CISA a inscrit le 3 novembre 2026 la faille CVE-2026-119977 du cœur de WordPress dans son catalogue KEV, ce qui confirme qu’elle sert déjà dans des attaques. Les administrations fédérales ont jusqu’au 6 novembre pour la corriger et doivent en plus mener une analyse forensique. WordPress avait comblé la brèche dans la version 7.1.4, sortie le 28 octobre avec onze autres correctifs de sécurité, en la présentant comme une faiblesse du processus de mise à jour pouvant mener à une exécution de code à distance pendant la fenêtre de mise à jour.

Comment les attaquants entrent

D’après la fiche CVE, publiée par Wordfence, la mise à jour complète du cœur passe par des répertoires temporaires dont l’emplacement est prévisible et accessible depuis le web. Un attaquant qui gagne la course (une faille de type « time-of-check to time-of-use », notée 8,1 en CVSS 3.1) peut faire exécuter du code au serveur, sans aucun compte, pendant que la mise à jour se déroule. Toutes les branches de 4.7.0 à 7.1.3 sont vulnérables. L’attaque est délicate, mais bien réelle : selon BleepingComputer, Wordfence dit avoir bloqué 13 095 tentatives en 24 heures.

Que faire maintenant

1. Vérifiez la version de chaque site : wp core version avec WP-CLI, ou Tableau de bord > Mises à jour.
2. Passez en 7.1.4 (wp core update). Pour les branches plus anciennes, WordPress indique que des correctifs rétroportés sont publiés jusqu’à la 4.7 : installez la dernière version de votre branche et prévoyez la migration vers la 7.1.
3. Par précaution, interdisez l’accès web au répertoire wp-content/upgrade/ (location ^~ /wp-content/upgrade/ { deny all; } sous Nginx, Require all denied sous Apache) : aucun visiteur n’en a besoin.
4. Cherchez des traces : lancez wp core verify-checksums, repérez les fichiers PHP dans wp-content/upgrade/, les comptes administrateur inconnus et les fichiers modifiés récemment, et examinez les journaux web autour des dernières mises à jour.

Notre avis

Ici, c’est la mise à jour elle-même qui ouvrait la porte : appliquer les correctifs ne suffit donc pas, encore faut-il protéger le moment où ils s’installent. Sur un site d’entreprise, on met à jour de façon maîtrisée, on ferme l’accès web aux répertoires de travail et on contrôle l’intégrité des fichiers après chaque opération.

Sources

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-119977 (WordPress Core)
• WordPress.org — WordPress 7.1.4
• CVE Program — CVE-2026-119977 record
• BleepingComputer — CISA flags WordPress RCE flaw as actively exploited in attacks

Comment nous choisissons, vérifions et rédigeons nos analyses →