WordPress : la version 7.1.4 corrige plusieurs failles du moteur du site
CISA confirme une exploitation de CVE-2026-119977 et le Canada vise WordPress avant 7.1.4. Vérifiez le moteur et examinez les signes d’intrusion, pas seulement les extensions.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Le 3 novembre, CISA ajoute CVE-2026-119977 à son catalogue de failles exploitées. Le Centre canadien vise WordPress Core avant 7.1.4 ; NVD décrit une exécution de code sans compte pendant une mise à jour complète. Si vous administrez un site, faites confirmer le correctif et examinez aussi les signes d’une compromission antérieure. Le numéro corrigé ne prouve pas, à lui seul, que le site est sain.
Une exploitation désormais confirmée, pendant la fenêtre de mise à jour
CISA fonde l’ajout du 3 novembre sur des preuves d’exploitation active. Sa fiche décrit une course entre vérification et utilisation de chemins de préparation prévisibles et accessibles par le Web pendant les mises à jour complètes du moteur. NVD donne les versions 4.7 à 7.1.3 et précise que l’attaque ne demande pas de compte. Cela n’implique pas que n’importe quelle visite compromette un site hors de cette fenêtre.
Le bulletin canadien donne 7.1.4 comme repère de correction. Faites vérifier le circuit propre à votre hébergement et les traces utiles si une intrusion est possible. Le suivi Debian référence désormais aussi CVE-2026-119977 et donne son paquet corrigé pour trixie, détaillé ci-dessous. Le catalogue KEV n’établit pas que chaque site concerné a été attaqué.
Le correctif concerne WordPress, pas seulement ses extensions
L’avis CERTFR-2026-AVI-1420 vise WordPress dans ses versions antérieures à 7.1.4 et renvoie au bulletin WordPress du 28 octobre. Il mentionne plusieurs risques, dont l’exécution de code à distance, le déni de service, l’atteinte à la confidentialité et l’injection de code dans les pages (XSS).
Le résumé CERT-FR ne donne pas les conditions détaillées de chaque faille. La confirmation d’exploitation ajoutée ci-dessus vient de CISA pour CVE-2026-119977 ; elle ne s’étend pas automatiquement à toutes les vulnérabilités de cet avis. Mettre à jour un thème ou une extension ne confirme pas la mise à jour de WordPress lui-même.
Vérifier qui tient la mise à jour
Si vous avez la main sur le site, relevez la version installée et appliquez la mise à jour de sécurité par le chemin prévu pour cet hébergement. Avant l’intervention, conservez une sauvegarde récupérable des fichiers et de la base ; une copie sur le même site ne remplace pas une possibilité de restauration indépendante.
Si le site est géré pour vous, demandez une confirmation de la version du moteur et du résultat de l’intervention. Après mise à jour, contrôlez au moins les pages publiques, la connexion d’administration et les formulaires importants. Ces contrôles sont nos recommandations pratiques, pas un test réalisé sur votre installation.
Une version corrigée n’est pas un certificat de site sain
La première partie s’appuie sur l’avis CERT-FR ; le passage Debian distinct ajoute sa fiche de paquet source et l’entrée NVD citée. Nous n’attribuons pas de CVE à un défaut sans identification dans ces documents. Ces lectures ne sont ni une inspection de votre site ni la preuve que ses comptes, extensions et serveur n’ont aucun autre défaut.
Si vous observez déjà des comptes inconnus, des fichiers modifiés ou des redirections inattendues, traitez aussi ces signes séparément. Ne confondez pas appliquer un correctif et établir ce qui s’est passé auparavant.
Debian 13 : un autre numéro de paquet
Le suivi Debian de DSA-6596-1 référence maintenant CVE-2026-119977 en plus de CVE-2026-66666. Sa fiche propre à CVE-2026-119977 marque wordpress 6.8.12+dfsg1-0+deb13u1 corrigé dans le dépôt de sécurité de trixie. Elle marque encore 6.1.9+dfsg1-0+deb12u1 de bookworm vulnérable. Le texte original du bulletin du 29 octobre ne nomme que CVE-2026-66666 : l’ajout vient du suivi courant, pas d’une réécriture de ce courrier.
CVE-2026-66666 reste un défaut distinct de divulgation de données sensibles ; sa fiche NVD décrit notamment la branche amont 6.8 jusqu’à 6.8.10. Pour WordPress installé par les paquets Debian, vérifiez la distribution et le numéro complet du paquet. Ne rejetez pas un paquet 6.8 corrigé au seul motif que son numéro précède 7.1.4, et ne supposez pas que ce suivi prouve que tous les composants du site sont à jour. Ce n’est pas une inspection de votre installation.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- Debian DSA-6596-1 : paquet source WordPress pour trixie ↗security-tracker.debian.org ·Utilisée dans :Debian 13 : un autre numéro de paquet
- NVD : CVE-2026-66666, branches de versions ↗services.nvd.nist.gov ·Utilisée dans :Debian 13 : un autre numéro de paquet
- NVD : CVE-2026-119977, versions et fenêtre de mise à jour ↗services.nvd.nist.gov ·
- Debian : CVE-2026-119977, état par distribution ↗security-tracker.debian.org ·
- Debian : texte original DSA-6596-1 du 29 octobre ↗debian.org ·Utilisée dans :Debian 13 : un autre numéro de paquet
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.