Faille d'inclusion de fichiers WordPress exploitée : passez à 7.1.2 ou version corrigée

Le 22 septembre 2026, WordPress a publié la version 7.1.2, ainsi que des mises à jour de sécurité pour toutes les anciennes branches jusqu'à 4.7, afin de corriger une faille critique du cœur de WordPress (CVE-2026-87902). Un attaquant sans compte peut forcer WordPress à charger un fichier PHP situé ailleurs sur le serveur. Avec certains thèmes et certaines configurations de serveur, cela permet d'exécuter du code et de prendre le contrôle du site.

Patchstack a enregistré les premières tentatives d'attaque à 11 h 49 UTC le jour même du correctif, puis des tentatives d'écriture de fichiers sur le serveur dans l'après-midi. Le 25 septembre 2026, la CISA a ajouté la faille à sa liste des vulnérabilités activement exploitées, comme l'a signalé le Centre canadien pour la cybersécurité.

Les sites qui acceptent les mises à jour automatiques ont commencé à se mettre à jour seuls. Si votre site a été mis à jour depuis, vous êtes très probablement déjà protégé, mais vérifiez la version.

Qui est concerné

• Les versions de WordPress de 4.7 jusqu'à 7.1.1 incluse.
• La prise de contrôle complète exige des conditions supplémentaires : le thème actif doit contenir un dossier dont le nom commence par « page- » (Wordfence cite notamment Twenty Twelve, Twenty Fourteen, Neve, Hestia et Sydney), et le serveur doit contenir un fichier PHP exploitable. Ne comptez pas sur ces conditions pour reporter la mise à jour.

Comment vérifier votre site

1. Connectez-vous à WordPress et ouvrez Tableau de bord > Mises à jour pour voir votre version.
2. Les versions corrigées sont 7.1.2 pour la branche actuelle, et 7.0.6, 6.9.9 et 6.8.10 pour les branches récentes. Les branches plus anciennes ont reçu leur propre version corrigée.
3. Vérifiez dans Utilisateurs qu'il n'y a pas d'administrateur inconnu, et dans Extensions qu'il n'y a rien que vous n'ayez pas installé.

Si vous ne pouvez pas vous connecter, demandez la version de WordPress à votre hébergeur ou à votre développeur.

Quoi faire maintenant

1. Si vous êtes sous la version corrigée de votre branche, cliquez sur Mettre à jour maintenant, ou demandez à votre hébergeur ou à votre développeur de le faire aujourd'hui.
2. Si vous utilisez une branche très ancienne, prévoyez de passer à la version actuelle de WordPress : seule la plus récente est activement maintenue.
3. Si quelque chose vous semble inhabituel après la mise à jour, faites vérifier le site par votre hébergeur ou un professionnel de la sécurité et changez vos mots de passe.

Cette alerte reprend ce que les sources ci-dessous ont publié et ne constitue pas une garantie pour un site en particulier.