Develop Better SolutionsBlog

Gravité : CritiqueRévélée le WordPress

Faille d'envoi de fichiers d'Elementor Pro exploitée : passez à la version 4.2.2 ou plus

Une faille dans les formulaires d'Elementor Pro permettait d'envoyer un fichier malveillant et de prendre le contrôle du site.

Concerne :Elementor Pro 4.2.1 et antérieures

Le 19 août 2026, Elementor a publié Elementor Pro 4.2.2 pour corriger une faille critique dans son widget Formulaire (CVE-2026-32475). Sur les sites dotés d'un formulaire public avec un champ d'envoi de fichier, un attaquant sans compte pouvait envoyer un fichier PHP et l'exécuter, ce qui revient à prendre le contrôle complet du site. Wordfence estime qu'Elementor Pro est installé sur environ 6 millions de sites.

Selon Wordfence, cité par BleepingComputer, les attaques ont commencé le jour même de la publication du correctif. Son pare-feu a bloqué plus de 190 000 tentatives entre le 19 et le 23 août seulement.

Si votre site a été mis à jour depuis, vous êtes très probablement déjà protégé, mais vérifiez la version. La mise à jour ferme la faille, mais ne supprime pas un fichier déposé avant.

Qui est concerné

  • Les sites qui utilisent Elementor Pro 4.2.1 ou une version antérieure.
  • L'attaque nécessite une page publiée contenant un formulaire Elementor Pro avec un champ d'envoi de fichier. L'extension gratuite Elementor seule n'est pas visée par cette alerte.

Comment vérifier votre site

  1. Dans WordPress, ouvrez Extensions et repérez Elementor Pro. Le numéro de version s'affiche sous son nom.
  2. Si elle indique 4.2.1 ou moins, le site était exposé.
  3. Demandez-vous si l'un de vos formulaires permet aux visiteurs de joindre un fichier (CV, photo, demande de devis). Si oui, le risque était réel.
  4. Demandez à votre hébergeur ou à votre développeur de vérifier le dossier wp-content/uploads/elementor/forms/ et d'y chercher tout fichier se terminant par .php. Ce dossier ne devrait jamais en contenir.

Quoi faire maintenant

  1. Mettez Elementor Pro à jour vers la version 4.2.2 ou plus depuis la page Extensions.
  2. Si un fichier PHP est trouvé dans ce dossier, considérez le site comme compromis : faites-le nettoyer par votre hébergeur ou un professionnel de la sécurité, puis changez tous les mots de passe.
  3. Vérifiez dans Utilisateurs qu'aucun administrateur inconnu n'a été ajouté.

Cette alerte reprend ce que les sources ci-dessous ont publié et ne constitue pas une garantie pour un site en particulier.

Sources