Une faille de sécurité de WordPress est activement ciblée par des attaquants lors du processus de mise à jour des sites. La société de cybersécurité Wordfence a bloqué plus de 240 000 tentatives d'exploitation au 6 novembre, et les régulateurs américains ont fixé une date limite aux agences fédérales pour appliquer le correctif. La vulnérabilité, référencée CVE-2026-119977, ne repose ni sur des mots de passe faibles ni sur des extensions obsolètes. Elle réside plutôt dans la manière dont WordPress gère certaines mises à jour complètes du logiciel.

Au cours de ces mises à jour, WordPress décompresse brièvement les fichiers d'installation dans un dossier accessible au public. La fenêtre ne dure que quelques secondes, mais ce court instant est précisément ce que les attaquants tentent d'attraper.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Comment fonctionne l'attaque

Un attaquant qui accède à ces fichiers au bon moment peut être en mesure d'exécuter du code PHP malveillant. Il n'aurait pas besoin de se connecter au site au préalable, et les mots de passe faibles ou les extensions obsolètes ne jouent aucun rôle dans cette exploitation. Une attaque réussie pourrait lui permettre d'installer des portes dérobées, de modifier le contenu du site, de créer des comptes administrateur non autorisés ou de voler des informations sensibles. Les failles ne nécessitant aucune identification comptent parmi les classes de vulnérabilités web les plus graves, car les défenses habituelles liées à la connexion — mots de passe solides, authentification à deux facteurs, bonne gestion des extensions — n'entrent jamais en jeu.

La faille présente un score de gravité CVSS de 8,1 sur 10, la plaçant dans la catégorie à haut risque de l'échelle standard de vulnérabilité de 0 à 10. Selon Wordfence, elle affecte les versions de WordPress 4.7 à 7.1.3, une gamme couvrant près d'une décennie de versions. WordPress faisant fonctionner environ 39,5 % de tous les sites web dans le monde selon W3Techs, la population de sites potentiellement exposés est considérable — une seule faille dans le cœur du logiciel peut placer blogs, médias et entreprises dans le même pool de risques jusqu'à l'application du correctif.

Wordfence indique que les attaquants ont commencé à cibler la faille le 28 octobre, le jour même où WordPress a publié sa mise à jour de sécurité. Dans l'industrie du logiciel, la publication d'un correctif public est considérée comme un signal de départ potentiel pour les attaquants, car les correctifs peuvent révéler les faiblesses qu'ils réparent — l'une des raisons pour lesquelles les équipes de sécurité pressent les administrateurs de mettre à jour immédiatement plutôt que selon un calendrier de routine. La surveillance initiale a relevé plus de 18 500 requêtes suspectes en environ 21 heures, et les chiffres ont ensuite augmenté régulièrement. Au 6 novembre, le pare-feu de Wordfence avait bloqué plus de 240 000 tentatives d'exploitation. Le jour le plus lourd a été le 30 octobre, avec plus de 74 000 requêtes malveillantes bloquées.

Les chercheurs ont également observé des attaquants sondant des sites à répétition sur de longues périodes, apparemment en attendant que des sites vulnérables entrent dans la brève fenêtre de mise à jour où les fichiers d'installation deviennent accessibles au public. Les requêtes bloquées ne constituent pas des piratages confirmés. L'exploitation exige un timing précis, ce qui rend la prise de contrôle d'un site nettement plus difficile que l'envoi d'une simple requête. Néanmoins, le volume de trafic témoigne d'un fort intérêt des attaquants.

Correctif, date limite et conseils pour les propriétaires de sites

WordPress a publié la version 7.1.4 le 28 octobre. Cette version corrige la faille ainsi que plusieurs autres problèmes de sécurité, et des correctifs sont également disponibles pour les anciennes branches prises en charge, permettant aux administrateurs de versions antérieures d'appliquer les correctifs eux aussi.

Le 3 novembre, l'agence américaine de sécurité des systèmes d'information et des infrastructures (CISA) a ajouté la faille à son catalogue des vulnérabilités connues et exploitées — une liste réservée aux failles confirmées comme activement exploitées — et a accordé aux agences fédérales civiles jusqu'au 6 novembre pour la corriger. Les inscriptions au catalogue sont obligatoires et non consultatives : en vertu de la directive opérationnelle contraignante 22-01 de la CISA, les agences fédérales civiles sont tenues de remédier aux vulnérabilités répertoriées avant la date limite assignée à chaque faille. La CISA a confirmé que la faille est activement exploitée dans la nature.

Les chercheurs ont aussi signalé un piège pour les sites qui demeurent vulnérables. Comme c'est l'ancien logiciel non corrigé qui gère la première étape de la mise à niveau, un site peut rester exposé même pendant qu'il installe précisément la mise à jour qui corrige la faille. Wordfence conseille de bloquer l'accès web aux fichiers PHP du répertoire /wp-content/upgrade/ avant de lancer la mise à jour.

La société a déjà ajouté une protection de pare-feu pour ses clients Premium, Care et Response, et les utilisateurs de l'extension gratuite doivent recevoir la même protection le 27 novembre. Les administrateurs sont invités à confirmer que la mise à jour est terminée, à vérifier les journaux du serveur et à examiner les comptes administrateur pour détecter toute modification non autorisée.

Les entreprises du secteur crypto fonctionnant sous WordPress font face à un risque accru, selon les rapports. Les plateformes d'échange, les projets blockchain et les sites d'actualités crypto pourraient subir des modifications de leur site ou l'injection de liens de phishing dans leurs pages. La faille n'affecte pas directement les réseaux blockchain ni les portefeuilles, mais un site piraté pourrait toujours tromper les visiteurs en les incitant à connecter leurs portefeuilles ou à approuver de fausses transactions — un rappel que, pour les entreprises crypto, le site web devant la chaîne fait partie de leur sécurité opérationnelle.

Au 6 novembre, Wordfence avait bloqué plus de 240 000 tentatives d'exploitation de la vulnérabilité, et les administrateurs sont invités à installer WordPress 7.1.4, à appliquer les protections de répertoire recommandées et à vérifier ensuite leurs sites. Les dates désormais au calendrier — la date limite fédérale du 6 novembre et le déploiement de la protection du pare-feu aux utilisateurs de l'extension gratuite le 27 novembre — constituent les points de contrôle visibles à surveiller à mesure que la riposte se déroule, aux côtés du compteur des tentatives bloquées tenu par Wordfence.