Des pirates guettent le moment où votre site WordPress se met à jour pour s'y glisser

Neuf minutes. C'est le temps qu'il a fallu, selon l'éditeur de sécurité Wordfence, pour que son pare-feu repère une première tentative d'attaque après le déploiement de la règle qui protège contre la nouvelle faille de WordPress. Le logiciel, qui fait tourner une grande partie des sites web, a publié le 28 octobre une version 7.1.4 qui corrige 22 failles de sécurité. L'une d'elles intéresse déjà les pirates.

Elle touche toutes les versions de 4.7 à 7.1.3. Selon Wordfence, qui crédite le chercheur Umut Bayram de sa découverte, il s'agit d'une « situation de compétition » (race condition) dans le processus de mise à jour du cœur de WordPress. Exploitée sans compte, elle pourrait permettre d'exécuter du code sur le serveur. Sa note de gravité est de 8,1 sur 10, et Wordfence lui a attribué l'identifiant CVE-2026-119977, publié le 31 octobre.

Une fenêtre de quelques secondes pendant la mise à jour

Le paradoxe tient au mécanisme. Lors d'une mise à jour complète, WordPress décompresse ses fichiers dans un dossier de travail au nom prévisible, sous wp-content/upgrade, y compris son programme d'installation. Si le serveur laisse ce dossier accessible depuis Internet et autorise l'exécution de PHP, un attaquant qui appelle ce programme au bon moment pourrait en prendre le contrôle, selon l'analyse rapportée par GBHackers.

Le moment est bref : en laboratoire, la fenêtre ne dure que quelques secondes, et Defiant, la société qui édite Wordfence, juge l'attaque complexe. Les pirates compensent en insistant. Ils interrogent en boucle les chemins vulnérables, notamment setup-config.php, en espérant tomber sur un site en pleine mise à jour. Wordfence a recensé plus de 18 500 requêtes de ce type dans les 21 premières heures.

Ces chiffres décrivent des tentatives, pas des piratages réussis : à ce stade, Wordfence n'a signalé aucune compromission.

Que faire ?

La faille se loge dans la mise à jour elle-même, qui est aussi le seul vrai remède :

• Vérifiez votre version dans Tableau de bord, puis Mises à jour : il faut la 7.1.4, ou la version corrigée de votre branche si vous restez sur une branche plus ancienne. Ne supposez pas que la mise à jour automatique est passée.
• Interdisez l'exécution de PHP dans les dossiers de téléversement et de mise à jour si votre hébergement le permet.
• Utilisateurs de Wordfence : les clients payants sont protégés depuis le 28 octobre à 20 h 30 (heure UTC). Les utilisateurs de la version gratuite ne recevront la règle que le 27 novembre. Wordfence conseille d'activer sa « protection étendue », car l'attaque appelle directement des fichiers PHP sans passer par WordPress.
• Contrôlez vos journaux : recherchez des requêtes PHP inattendues sous wp-content/upgrade, des comptes administrateurs ou des extensions que vous ne connaissez pas, et lancez une analyse des fichiers.

Un pare-feu ne remplace pas le correctif, et son silence ne prouve pas qu'un site n'a pas été visité.

Les sites oubliés, premières cibles probables

WordPress reste une cible privilégiée, comme l'a montré la récente affaire des clés volées à l'éditeur de l'extension UpdraftPlus. Cette fois, les plus exposés seront sans doute les sites que plus personne ne surveille : vitrines d'associations, sites d'événements passés, préproductions oubliées. Il faudra suivre le premier signalement d'une compromission réussie.

Mise à jour du 13 novembre 2026

La faille de WordPress qui se loge dans le processus de mise à jour, CVE-2026-119977, est désormais officiellement exploitée par des pirates. Le 3 novembre, l'agence américaine de cybersécurité (CISA) l'a ajoutée à son catalogue des vulnérabilités activement exploitées (KEV), rapporte BleepingComputer. Les administrations fédérales américaines avaient jusqu'au 6 novembre pour corriger. Cette échéance ne s'applique pas aux entreprises, mais la CISA invite tous les défenseurs à traiter la faille en priorité.

La CISA ne détaille pas ces attaques. Dans une mise à jour de son bulletin publiée le week-end du 31 octobre, Wordfence indique avoir bloqué 13 095 attaques visant cette faille en 24 heures : ce sont des tentatives arrêtées, pas des piratages réussis. BleepingComputer ne fait état d'aucune compromission confirmée. La consigne ne change pas : installer WordPress 7.1.4, publiée le 28 octobre (ou, sur une branche plus ancienne, sa version corrective, comme 7.0.8 ou 6.9.11), et vérifier que la mise à jour a bien été appliquée.