Faille WordPress exploitée pendant les mises à jour : vérifiez que votre site est bien en 7.1.4

Ce qui se passe

WordPress a publié le 28 octobre la version 7.1.4, qui corrige plusieurs failles. La plus sérieuse (CVE-2026-119977) touche le mécanisme de mise à jour lui-même : pendant quelques instants, les nouveaux fichiers sont déposés dans un dossier prévisible et accessible depuis Internet. Un pirate, sans aucun compte sur le site, peut en profiter pour y faire tourner son propre code.

L'agence américaine de cybersécurité (CISA) a confirmé le 3 novembre que cette faille est activement exploitée. Wordfence, éditeur d'une extension de sécurité très répandue, a bloqué plus de 20 000 tentatives d'attaque en 24 heures. En France, le CERT-FR a publié un avis dès le 29 octobre.

Qui est concerné

• Les sites WordPress des versions 4.7 à 7.1.3 qui n'ont pas reçu le correctif.
• Les sites vitrines et boutiques en ligne de TPE, d'artisans ou d'associations, souvent mis à jour « quand on y pense ».
• Les sites oubliés : ancienne version de test, site d'un événement passé, blog abandonné.
• Les versions 4.6 et plus anciennes : elles ne reçoivent plus aucun correctif, il faut migrer.

Le bon réflexe

• Vérifiez votre version dans le tableau de bord, rubrique « Mises à jour ». Il faut la 7.1.4 ou plus, ou la version corrigée de votre branche (par exemple 7.0.8, 6.9.11 ou 6.8.12).
• Faites une sauvegarde des fichiers et de la base de données, puis lancez la mise à jour depuis le tableau de bord.
• Activez les mises à jour automatiques de sécurité et mettez aussi à jour vos extensions et votre thème.
• Votre site est géré par une agence ou un hébergeur ? Demandez-lui par écrit la version installée et la date de la mise à jour.
• Quelque chose cloche (compte administrateur inconnu, pages modifiées, redirections vers d'autres sites) ? Faites appel à votre prestataire et trouvez de l'aide sur Cybermalveillance.gouv.fr.

Sources : CERT-FR, 29/10/2026, The Hacker News, 04/11/2026, L'Informatique.org