Sommaire
Ce qui s’est passé, en clair
Le 28 octobre 2026, WordPress a publié la version 7.1.4, une mise à jour de sécurité qui corrige plusieurs failles. L’une d’elles est sérieuse : une faille dans le processus de mise à jour lui-même, qui peut permettre à un pirate d’exécuter du code sur le serveur pendant que le site se met à jour. Elle porte le nom de code CVE-2026-119977 et a été signalée par Umut Bayram, chercheur chez Picus Security.
Pour faire simple, imaginez un déménagement. Pendant une mise à jour, WordPress dépose ses nouveaux fichiers dans un dossier temporaire, wp-content/upgrade, comme des cartons posés dans l’entrée. Tant que la porte d’entrée reste ouverte, quelqu’un de malintentionné peut glisser son propre carton au milieu des vôtres. Le risque dure le temps de la mise à jour, mais il suffit d’une fois. Et petit piège : la mise à jour qui installe le correctif est elle-même une dernière occasion pour les pirates. Raison de plus pour ne pas laisser traîner un site resté en retard.
Ce n’est pas une alerte théorique :
- 28 octobre : sortie de WordPress 7.1.4 et des correctifs pour les anciennes versions.
- 3 novembre : l’agence américaine de cybersécurité (CISA) ajoute la faille à sa liste des failles réellement exploitées par des pirates.
- Selon Wordfence, l’éditeur de l’extension de sécurité du même nom, les premières tentatives d’attaque sont arrivées quelques minutes seulement après la publication de sa règle de protection.
Bonne nouvelle quand même : la faille ne touche pas une extension en particulier mais le cœur de WordPress, et le correctif existe pour presque toutes les versions. Encore faut-il l’avoir installé.
Les versions corrigées
Toutes les versions de WordPress entre la 4.7 et la 7.1.3 sont concernées. WordPress a publié un correctif pour chaque branche encore maintenue. Vous n’êtes donc pas obligé de passer à la 7.1 : il faut simplement avoir la bonne version dans votre branche.
| Votre version commence par | Version corrigée à avoir au minimum |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 6.5 | 6.5.14 |
| 6.4 | 6.4.14 |
| 6.0 à 6.3 | 6.0.18, 6.1.16, 6.2.15 ou 6.3.14 |
| 4.7 à 5.9 | la dernière version de votre branche (par exemple 5.9.20 ou 4.7.39) |
| 4.6 ou plus ancien | aucun correctif : ces versions ne reçoivent plus de mises à jour de sécurité |
Source : la page officielle de la version 7.1.4 sur WordPress.org, qui liste les correctifs publiés pour chaque branche.
Vérifier votre site en 5 minutes
Pas besoin d’être développeur pour savoir où vous en êtes. Voici les vérifications à faire, dans l’ordre.
1. Regardez votre numéro de version
Connectez-vous à votre administration WordPress, puis allez dans Tableau de bord > Mises à jour. Votre version est écrite en haut de la page : « Vous utilisez la version… ». Vous la trouvez aussi dans Outils > Santé du site > Infos.
2. Comparez avec le tableau
Si votre version est égale ou supérieure à celle du tableau pour votre branche, le correctif est installé. Si WordPress vous propose une mise à jour sur cette page, ne la laissez pas traîner.
3. Cherchez l’e-mail de WordPress
Quand WordPress installe une mise à jour de sécurité tout seul, il envoie un e-mail à l’adresse de l’administrateur, qui commence par « Votre site à l’adresse… a été automatiquement mis à jour vers WordPress… ». C’est d’ailleurs comme ça que je l’ai vu sur mon propre site : directwebmaster.com est passé tout seul en 6.9.11 le 28 octobre, le jour même de la sortie du correctif. Pensez à regarder dans vos courriers indésirables, ces e-mails y finissent souvent.
4. Jetez un œil aux comptes administrateurs
Dans Comptes > Tous les comptes, filtrez sur « Administrateur ». Vous devez connaître chaque nom de la liste. Un compte que personne n’a créé est le premier signe d’une intrusion.
Votre site n’est pas à jour : que faire ?
Pas de panique, mais ne remettez pas ça à la semaine prochaine.
- Faites une sauvegarde complète avant de toucher à quoi que ce soit : fichiers et base de données. Sur mon site, j’utilise UpdraftPlus, avec une copie envoyée sur Google Drive.
- Lancez la mise à jour depuis Tableau de bord > Mises à jour, puis vérifiez le nouveau numéro de version.
- Contrôlez votre site : pages principales, formulaire de contact, panier si vous avez une boutique.
Si vous ne savez pas qui gère votre site, ou si la dernière mise à jour date de plusieurs années, faites-vous aider : une mise à jour qui saute plusieurs versions d’un coup peut casser un thème ou une extension.
Les signes qui doivent vous alerter
Si votre site est resté sur une version non corrigée après le 28 octobre, vérifiez ces points :
- un compte administrateur que vous ne connaissez pas ;
- une extension installée que personne n’a ajoutée ;
- des fichiers PHP dans le dossier
wp-content/upgrade, en dehors du petit fichierindex.phpque WordPress y place lui-même ; - des visiteurs redirigés vers des sites étrangers, ou des pages inconnues qui apparaissent dans Google.
Un seul de ces signes suffit pour faire analyser le site. Ne vous contentez pas de mettre à jour : une porte dérobée laissée par un pirate reste en place après la mise à jour.
Faut-il garder les mises à jour automatiques ?
Il y a quelques années, j’ai écrit un article pour désactiver les mises à jour automatiques de WordPress, parce qu’une grosse mise à jour peut casser un thème ou une extension. C’est toujours vrai pour les mises à jour majeures. Mais cette faille montre l’autre côté de la médaille : un site qui se met à jour tout seul a reçu le correctif le jour même, sans que personne n’ait à y penser.
Mon conseil : si vous préférez faire les grosses mises à jour vous-même, laissez au moins passer automatiquement les mises à jour de sécurité (les petits numéros, comme 6.9.10 vers 6.9.11). C’est le réglage de base de WordPress, il suffit de ne pas le désactiver. Et si vous n’avez pas le temps de surveiller tout ça, c’est exactement le rôle d’une maintenance de site WordPress.
Questions fréquentes
Mon site a-t-il été piraté si je n’ai rien fait ?
Pas forcément. La faille ne peut être exploitée que pendant une mise à jour du cœur de WordPress, y compris celle qui installe le correctif. Le risque existe, mais il se limite à ces quelques instants. Dans tous les cas, faites les vérifications de la partie « Les signes qui doivent vous alerter » : elles prennent cinq minutes.
Dois-je passer à WordPress 7.1 ?
Pas pour cette faille : chaque branche a reçu son propre correctif, par exemple 6.9.11 pour la 6.9. En revanche, WordPress ne maintient activement que la dernière version. Prévoyez la montée de version au calme, avec une sauvegarde et un test. La prochaine version majeure, WordPress 7.2, est annoncée pour le 8 décembre 2026.
Mon hébergeur s’occupe-t-il des mises à jour ?
Ça dépend de votre offre. Sur un hébergement mutualisé classique, l’hébergeur ne gère pas WordPress à votre place : ce sont les mises à jour automatiques de WordPress, vous ou votre webmaster qui s’en chargent. Certaines offres « WordPress infogéré » le font pour vous. Dans le doute, posez la question par écrit à votre hébergeur.
Une extension de sécurité comme Wordfence suffit-elle ?
Elle aide, et Wordfence a publié une règle de pare-feu contre cette faille dès sa sortie. Mais une extension de sécurité est une ceinture de plus, pas une réparation : seule la mise à jour de WordPress corrige vraiment la faille.
Le site a été mis à jour, dois-je faire autre chose ?
Vérifiez la liste des comptes administrateurs et des extensions, et gardez une sauvegarde récente. Si tout est connu et que la version est corrigée, vous pouvez dormir tranquille.
