Failles de Ninja Forms et WPC Product Bundles utilisées pour cacher des administrateurs

En septembre 2026, des correctifs ont été publiés pour deux failles que des attaquants ont ensuite exploitées dans une même campagne. Ninja Forms, une extension de formulaires comptant plus de 500 000 installations actives sur WordPress.org, a corrigé sa faille dans la version 3.15.4 le 21 septembre 2026 (CVE-2026-94504). WPC Product Bundles for WooCommerce, utilisée sur plus de 30 000 sites, a corrigé une faille similaire dans la version 8.6.7, selon Patchstack (CVE-2026-93836). Patchstack date la divulgation publique des deux failles au 22 septembre.

Ces failles permettaient à un visiteur sans compte de cacher du code malveillant dans un formulaire envoyé ou une demande de panier. Ce code s'exécute plus tard, quand un administrateur ouvre l'entrée dans le tableau de bord. Patchstack a observé les premières attaques le 4 octobre 2026 pour WPC Product Bundles et le 5 octobre pour Ninja Forms. Le code installe alors une fausse extension nommée « WP Smart Thumbnails », crée un administrateur visible et un autre caché, et ajoute un lien de connexion secret. Supprimer l'extension ne supprime pas ces accès cachés.

Si votre site a été mis à jour depuis, vous êtes très probablement protégé contre de nouvelles attaques, mais vérifiez la version et cherchez les signes ci-dessous.

Qui est concerné

• Les sites qui utilisent Ninja Forms 3.15.3 ou une version antérieure.
• Les boutiques WooCommerce qui utilisent WPC Product Bundles 8.6.6 ou une version antérieure.
• Tout site dont un administrateur a consulté des entrées de formulaire ou des commandes pendant qu'une version vulnérable était installée.

Comment vérifier votre site

1. Dans WordPress, ouvrez Extensions et vérifiez les versions de Ninja Forms et de WPC Product Bundles for WooCommerce.
2. Cherchez WP Smart Thumbnails dans Extensions. Si elle est présente, ou l'a été, le site a été compromis.
3. Cherchez dans Utilisateurs des administrateurs inconnus. Le compte caché n'apparaît pas sur cet écran : demandez à votre développeur ou à votre hébergeur de lister les administrateurs directement dans la base de données et de vérifier le dossier wp-content/mu-plugins.

Quoi faire maintenant

1. Mettez Ninja Forms et WPC Product Bundles à jour vers leurs dernières versions. Ninja Forms a publié d'autres correctifs de sécurité dans les versions 3.15.5 et 3.15.6 : ne vous arrêtez pas à la 3.15.4.
2. Au moindre signe de compromission, faites nettoyer le site par votre hébergeur ou un professionnel de la sécurité. Patchstack liste les fichiers et entrées de base de données à supprimer.
3. Après le nettoyage, changez tous les mots de passe administrateurs, en commençant par le plus ancien compte administrateur, et demandez à votre développeur de renouveler les clés de sécurité de WordPress.

Cette alerte reprend ce que les sources ci-dessous ont publié et ne constitue pas une garantie pour un site en particulier.