Ing. Calogero Bono
WordPress 7.1.4 est une version de sécurité sortie le 28 octobre, qui inclut la correction d'une faille permettant d'exécuter du code sur le serveur pendant une mise à jour du core. La CISA américaine a confirmé que la vulnérabilité, CVE-2026-119977, est exploitée et a été ajoutée au catalogue KEV. C'est important, car l'attaque ne nécessite pas de compte sur le site. Si tu gères des sites WordPress, la mise à jour ne peut pas attendre.
Quelques termes, avant d'entrer dans les faits. CVE est le code qui identifie une vulnérabilité connue. TOCTOU (time-of-check time-of-use) est une race condition, c'est-à-dire un défaut où quelque chose change entre la vérification et l'utilisation d'une ressource. RCE signifie exécution de code à distance. KEV est le catalogue de la CISA des vulnérabilités dont l'exploitation est avérée. XSS stored est un script malveillant enregistré dans le site et proposé aux visiteurs.
De quoi s'agit-il avec la faille CVE-2026-119977 ?
Selon la communication officielle de WordPress, il s'agit d'une faiblesse dans le processus de mise à jour pouvant mener à une exécution de code à distance pendant la fenêtre de mise à niveau. Le signalement vient d'Umut Bayram, chercheur chez Picus Security.
Comme le rapporte BleepingComputer, le problème vient de l'utilisation de chemins de staging prévisibles et accessibles depuis le web pendant les mises à jour complètes du core. La gravité est élevée, avec un score CVSS de 8.1 selon The Hacker News, et la complexité de l'attaque est élevée.
Dans quelle mesure est-elle réellement exploitée ?
La CISA a ajouté la faille au catalogue KEV et a ordonné aux agences fédérales civiles de corriger avant le 6 novembre 2026. L'agence a aussi invité les entreprises privées à prioriser le correctif.
Les chiffres viennent de Wordfence, il s'agit donc des déclarations d'une entreprise de sécurité. BleepingComputer rapporte 13 095 attaques bloquées en 24 heures. The Hacker News cite plus de 18 500 requêtes vers des chemins « setup-config.php » dans les 21 premières heures et 12 632 attaques bloquées sur une autre fenêtre de 24 heures. Previdian a enregistré trois tentatives contre son honeypot le 30 octobre.
Que corrige encore WordPress 7.1.4 ?
La version ne concerne pas seulement la mise à jour. La liste officielle comprend plusieurs failles XSS stored dans des blocs et fonctions du core.
- bloc Categories, blocs Playlist et image, blocs de pagination des commentaires
- Interactivity API, avec plusieurs XSS et un cas de déni de service
- Customizer, avec une XSS et la découverte de changesets non publiés par des utilisateurs anonymes
- demandes de suppression de données personnelles et noms d'utilisateur construits de façon malveillante
Sont aussi corrigés la lecture de notes par des utilisateurs privilégiés sans droits de modification, et les certificats racines, mis à jour pour la révocation d'eMudhra.
Pourquoi 2026 est-elle une année difficile pour le core de WordPress ?
Selon BleepingComputer, en juillet l'équipe de sécurité a corrigé la chaîne wp2shell, composée d'une confusion dans les routes batch de la REST API (CVE-2026-63030) et d'une injection SQL (CVE-2026-60137). Les exploits publics sont arrivés un jour après les correctifs.
En septembre, un acteur de langue chinoise a utilisé la chaîne pour soustraire des données de plus de 18 500 enregistrements de bases de données de petites entreprises et d'organisations publiques. Ce précédent montre à quel point le délai entre le correctif et l'attaque est court. Pour aller plus loin, notre guide de sécurité WordPress explique les défenses de base.
Limites à connaître
Nous ne savons pas qui se cache derrière les attaques ni combien de sites ont été compromis. La CISA n'a pas donné de détails sur l'exploitation, et les chiffres sur les attaques bloquées viennent de Wordfence, avec des fenêtres temporelles différentes selon les sources. Les correctifs pour les branches plus anciennes, jusqu'à la 4.7, sont encore en cours et sortiront dès qu'ils seront prêts.
Ce qui change pour ceux qui travaillent avec le numérique
Mets à jour immédiatement vers 7.1.4, depuis la section Mises à jour du tableau de bord, si les mises à jour automatiques ne sont pas déjà passées. Si tu n'as pas de procédure, notre stratégie pour mettre à jour sans casser le site est un bon point de départ. Ceux qui gèrent beaucoup de sites pour des clients doivent aussi vérifier ceux qu'ils ont oubliés. Un pare-feu comme ceux comparés dans le guide des extensions de sécurité aide, mais ne remplace pas le correctif.
Notre avis
Le plus gênant, c'est que la faille touche justement le mécanisme avec lequel on devrait se protéger. Mettre à jour est la défense, mais pendant la mise à jour, la fenêtre de risque s'ouvre. Le point positif est la réaction rapide de l'équipe de sécurité. Le point négatif est le rythme de 2026, avec une chaîne d'exploits en juillet et une autre faille exploitée en octobre. Celui qui traite les mises à jour comme une tâche à faire quand il y a du temps parie contre les chiffres.
Questions fréquentes
Que corrige WordPress 7.1.4 ?
Il corrige une faille d'exécution de code dans le processus de mise à jour et plusieurs XSS stored. Il inclut aussi la correction d'un cas de déni de service et la mise à jour des certificats racines.
La faille CVE-2026-119977 nécessite-t-elle un compte ?
Non. Selon Wordfence, citée par les sources, aucun compte n'est nécessaire. L'attaquant doit toutefois exploiter une courte fenêtre pendant une mise à jour complète du core.
Quand sort WordPress 7.2 ?
Elle est prévue pour le 8 décembre. La Beta 3 est déjà disponible et contient les correctifs applicables.
Les anciennes versions reçoivent-elles aussi le correctif ?
Oui, en partie. Les correctifs sont rétroportés sur toutes les branches éligibles jusqu'à la 4.7 et sortiront dès qu'ils seront prêts. WordPress rappelle que seule la dernière version est activement prise en charge.
L'échéance de la CISA vaut-elle aussi pour les entreprises italiennes ?
Non, l'échéance du 6 novembre ne concerne que les agences fédérales américaines. La CISA invite toutefois aussi le secteur privé à prioriser le correctif.
Ce qu'il faut surveiller dans les prochaines semaines sur WordPress
Le correctif est disponible, mais l'attention se porte maintenant sur les branches plus anciennes et sur la bêta 7.2. La période la plus risquée est celle où l'exploit circule et où les sites ne sont pas à jour.
- Vérifie l'arrivée des rétroportages pour les anciennes versions que tu utilises encore et planifie la migration.
- Lis les logs du serveur à la recherche de requêtes vers des chemins d'installation comme setup-config.php.
- Suis les notes de la Beta 3 et de la 7.2, prévue pour le 8 décembre, avant de mettre à jour en production.
