Une faille RCE (exécution de code à distance) du cœur de WordPress permet de prendre la main sur un serveur au moment précis d’une mise à jour. WordPress a publié la version 7.1.4 pour la corriger, et les tentatives d’exploitation ont déjà commencé. Voici ce qu’il faut savoir.
L’essentiel en bref
- WordPress a publié le 28 octobre 2026 la version de sécurité 7.1.4. Elle corrige 12 vulnérabilités, dont une faille d’exécution de code à distance dans le processus de mise à jour.
- La faille RCE de WordPress touche les versions 4.7 à 7.1.3. Selon Wordfence, un attaquant non authentifié peut exécuter du code pendant la courte fenêtre où une mise à jour complète du cœur est décompressée.
- Wordfence dit avoir bloqué 62 969 tentatives en 24 heures, selon The Hacker News. Les correctifs pour les anciennes branches sont encore en cours de publication.
Faille RCE du cœur de WordPress : ce qu’il faut savoir
- La faille vise le processus de mise à jour lui-même : selon Wordfence, lors d’une mise à jour complète du cœur, WordPress décompresse les nouveaux fichiers, installateur compris, dans un dossier au chemin prévisible sous wp-content/upgrade.
- Aucun compte n’est nécessaire pour l’exploiter : si ce dossier est accessible depuis le web, un attaquant qui appelle l’installateur au bon moment peut aller jusqu’à exécuter du code PHP sur le serveur.
- Quatre conditions doivent être réunies : une mise à jour complète contenant l’installateur, un accès web et PHP public au dossier temporaire, un chemin prévisible ou découvert, et assez de temps avant que WordPress supprime les fichiers temporaires.
- La vulnérabilité est notée 8,1 sur l’échelle CVSS : selon The Hacker News, elle est référencée GHSA-4w3m-c66w-69mg sur GitHub et n’a pas d’identifiant CVE.
- Le correctif s’installe depuis le tableau de bord : WordPress indique de passer par le menu « Mises à jour », puis « Mettre à jour maintenant ». Les sites qui acceptent les mises à jour automatiques en arrière-plan la reçoivent sans intervention.
Début septembre, la faille critique de l’extension All-in-One WP Migration ne concernait que les sites équipés de cette extension. Cette fois, c’est le cœur de WordPress qui est en cause : toutes les installations de la 4.7 à la 7.1.3 entrent dans le périmètre.
En laboratoire, la fenêtre d’attaque ne dure que quelques secondes, selon Wordfence. Les attaquants compensent par l’insistance : les deux plus grosses sources ont sollicité en boucle de petits groupes de sites pendant environ 14,5 heures.
Repousser la 7.1.4 laisse donc le site exposé à chaque future mise à jour du cœur. Appliquez-la maintenant, puis vérifiez les traces d’une éventuelle intrusion.
Que change cette faille pour la maintenance de vos sites WordPress ?
Vous gérez un parc de sites clients sous WordPress ?
Commencez par trier les sites selon leur version. Un site déjà passé en 7.1.4 est corrigé. Un site resté sur une branche ancienne dépend des correctifs rétroportés, que WordPress publie progressivement pour toutes les branches jusqu’à la 4.7.
Regardez ensuite l’exposition du serveur. D’après Wordfence, le dossier temporaire est accessible depuis le web sur de nombreux serveurs. Si vous travaillez avec plusieurs hébergeurs, posez-leur la question pour chaque configuration.
À faire sans attendre
- 1 Passer chaque site en 7.1.4 depuis le menu « Mises à jour », ou vérifier que la mise à jour automatique l’a bien installée.
- 2 Chercher dans les journaux du serveur des requêtes suspectes vers des fichiers PHP situés sous wp-content/upgrade, comme le recommande Wordfence.
- 3 Vérifier qu’aucun compte administrateur, aucune extension et aucun fichier PHP inconnus ne sont apparus.
- 4 Pour les sites restés sur une ancienne branche, surveiller la sortie de leur correctif et planifier le passage à la dernière version.
Vous êtes une agence ? Notez ces contrôles dans le rapport de maintenance du mois. Le client y verra que son site a été mis à jour, puis vérifié.
Rétroportages, volume d’attaques : les limites du correctif WordPress 7.1.4
- Les branches anciennes attendent encore leur correctif : WordPress précise que les rétroportages sont en cours et sortiront au fur et à mesure. L’éditeur rappelle aussi que seule la version la plus récente est activement maintenue.
- Le chiffre de 62 969 mesure des tentatives, pas des sites piratés : Wordfence note que toutes les requêtes ne visaient pas le chemin exact et que certaines testaient des variantes de dossiers ou de numéros de version.
- La 7.1.4 corrige onze autres vulnérabilités : surtout des failles XSS stockées (blocs, Interactivity API, Customizer), mais aussi un déni de service et l’accès non authentifié à des modifications du Customizer non publiées. La mise à jour reste donc utile même si le dossier temporaire de votre serveur n’est pas exposé.
Mon avis :
WordPress 7.1.4 est une mise à jour à appliquer cette semaine sur tous vos sites, sans attendre votre cycle de maintenance habituel, car la faille est déjà ciblée à grande échelle. Elle concerne d’abord les agences et freelances qui maintiennent des sites clients, et tous les sites restés sur une ancienne branche (les sites déjà passés en 7.1.4 par mise à jour automatique n’ont plus qu’à vérifier les traces).
