Une vulnérabilité de sécurité critique dans WordPress pourrait permettre à des attaquants de prendre le contrôle de sites web sans avoir à se connecter, selon un rapport de Hokanews. La faille concerne les versions 4.7 à 7.1.3 et cible une brève fenêtre du processus de mise à jour de la plateforme, lorsque son programme d'installation devient temporairement accessible via un dossier public.

WordPress fait fonctionner 39,5 % de tous les sites web, selon des informations partagées par Coin Bureau, ce qui signifie qu'environ quatre sites sur dix utilisent le même logiciel sous-jacent. Cette ampleur confère à la faiblesse signalée une portée potentiellement large, puisqu'elle concerne le processus de mise à jour propre à la plateforme plutôt qu'un simple plugin ou thème. L'inquiétude porte sur la possibilité que des attaquants puissent exécuter leur propre code directement sur le serveur d'un site web lors d'une mise à jour complète — un résultat qui peut se traduire par une prise de contrôle non autorisée du site lui-même.

Fonctionnement de la vulnérabilité

Lors d'une mise à jour complète de WordPress, la plateforme place brièvement son programme d'installation dans un dossier accessible au public. Selon Coin Bureau, un attaquant qui accède à cet emplacement pendant cette courte fenêtre peut exécuter son propre code sur le serveur. Comme l'exposition n'existe que pendant la durée de la mise à jour, le risque est lié à cette période de mise en place temporaire plutôt qu'à un point d'entrée persistamment ouvert.

La faille ne nécessite pas que l'attaquant se connecte au site WordPress concerné. L'attaque exploite plutôt l'exposition temporaire créée pendant le processus de mise à jour, permettant potentiellement une prise de contrôle non autorisée du site web.

La vulnérabilité affecte toutes les versions de WordPress de la 4.7 à la 7.1.3. Selon les informations rapportées par Coin Bureau, cette plage couvre près de 10 années de versions, remontant à décembre 2016. Une étendue aussi large place des installations d'âges très différents dans la plage affectée signalée, et pas uniquement les versions les plus récentes.

Wordfence signale la vulnérabilité CVE-2026-119977

La société de sécurité Wordfence a signalé le problème, désormais suivi sous l'identifiant CVE-2026-119977. La désignation CVE est le système d'identification standard utilisé pour cataloguer les vulnérabilités logicielles divulguées publiquement, offrant aux chercheurs et aux propriétaires de sites un point de référence commun pour la même faille. La vulnérabilité a également suscité une activité de protection par pare-feu, Wordfence ayant enregistré son premier blocage à peine neuf minutes après l'activation de la protection.

Le calendrier rapporté indique que le pare-feu a commencé à bloquer l'activité associée à la vulnérabilité peu après l'activation de sa protection. Cependant, le rapport ne précise pas le nombre de tentatives d'attaques ni le nombre de sites web potentiellement affectés. Ces deux chiffres restent les principales questions en suspens autour de la faille, car ils révéleraient l'activité qu'elle a suscitée en pratique.

Avec les versions 4.7 à 7.1.3 incluses dans la plage affectée signalée, la vulnérabilité concerne une large part des versions de WordPress. L'exposition temporaire du programme d'installation lors des mises à jour complètes est la faiblesse spécifique décrite dans le rapport.

Le rapport original a été rédigé par Victoria Hale, journaliste spécialisée dans les technologies et la blockchain chez Hokanews.