WordPress : une faille de mise à jour exploitée

Une faille WordPress du cœur du CMS, et non d'une extension, est désormais exploitée. L'agence américaine de cybersécurité (CISA) a ajouté le 3 novembre la vulnérabilité CVE-2026-119977 à son catalogue KEV des failles exploitées. Elle permet à un attaquant non authentifié d'exécuter du code sur le serveur pendant la mise à jour de WordPress. Le correctif est disponible depuis la version 7.1.4, publiée le 28 octobre, et dans des versions de maintenance pour les branches plus anciennes.

Une course contre la mise à jour

Selon la fiche publiée dans la base NVD, la faille touche WordPress de la version 4.7 à la version 7.1.3. Elle tient à des chemins de travail prévisibles et accessibles depuis le web, utilisés lors des mises à jour complètes du cœur. Pendant cette fenêtre, un attaquant qui connaît ces chemins peut faire exécuter du code par le serveur.

Il s'agit d'une condition de concurrence de type TOCTOU (CWE-367) : le système vérifie un état, puis agit alors que cet état a pu changer entre-temps. Wordfence, qui a attribué l'identifiant, lui donne un score CVSS 3.1 de 8,1 sur 10 (élevé). La complexité d'attaque est jugée élevée, puisqu'il faut agir au bon moment, mais aucun compte ni aucune action de l'administrateur n'est nécessaire.

La CISA ne précise pas qui exploite la faille ni contre quelles cibles. Elle demande aux agences fédérales américaines de se mettre en conformité avant le 6 novembre et signale qu'une analyse forensique est requise, ce qui suggère qu'un site exposé peut avoir été compromis avant d'être corrigé.

Douze correctifs dans WordPress 7.1.4

La faiblesse du processus de mise à jour, signalée par le chercheur Umut Bayram, est la plus grave des douze failles corrigées par WordPress 7.1.4. Les autres sont surtout des XSS stockées, dans plusieurs blocs, dans l'Interactivity API ou dans le Customizer. La version met aussi à jour les certificats racines fournis avec WordPress, après la révocation de l'autorité eMudhra, que nous avions évoquée dans notre article sur les certificats compromis.

Les correctifs ont été rétroportés dans toutes les branches encore éligibles, jusqu'à la 4.7. Le service de mise à jour de WordPress.org propose notamment les versions 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11 et, pour les plus anciennes, jusqu'à 4.7.39. Seule la branche 7.1 est activement maintenue.

Que faire

• Vérifier la version installée dans le tableau de bord, menu « Mises à jour », ou avec wp core version en ligne de commande.
• Mettre à jour vers 7.1.4, ou vers la dernière version de maintenance de sa branche si une migration n'est pas possible tout de suite. Les sites où les mises à jour automatiques en arrière-plan sont actives ont normalement été mis à jour sans intervention, mais il faut le vérifier.
• Rechercher des traces de compromission : fichiers PHP inconnus à la racine ou dans wp-content, comptes administrateurs ajoutés, tâches planifiées suspectes. Les journaux du serveur autour des dernières mises à jour du cœur sont à examiner en priorité.
• Planifier les mises à jour majeures sur un site en maintenance ou derrière une restriction d'accès, pour réduire l'exposition pendant la fenêtre de mise à jour.

Les sites qui testent la prochaine version majeure sont aussi concernés : WordPress 7.2 bêta 3 intègre les mêmes corrections, et la version finale est prévue pour le 8 décembre. Nous avions présenté ses nouveautés dans notre article sur WordPress 7.2 bêta 1.