WordPress : la faille pendant les mises à jour entre au catalogue des vulnérabilités exploitées
Le 3 novembre 2026, l’agence américaine CISA a ajouté CVE-2026-119977 à son catalogue KEV des vulnérabilités dont l’exploitation est connue. Cette inscription constitue une information nouvelle : la correction était déjà disponible dans WordPress 7.1.4, publié le 28 octobre.
La faille touche le mécanisme de mise à jour complète du cœur de WordPress. Des fichiers temporaires placés dans un emplacement prévisible et accessible par le Web peuvent permettre à un attaquant non authentifié d’exécuter du code sur le serveur pendant la courte fenêtre de mise à niveau. Wordfence lui attribue 8,1/10 en CVSS 3.1 : l’absence de compte requis ne supprime pas la difficulté de synchroniser l’attaque avec cette fenêtre.
Les versions vulnérables vont de la branche 4.7 à 7.1.3, en excluant les correctifs désormais rétroportés. Pour les branches récentes, les versions corrigées comprennent 7.1.4, 7.0.8, 6.9.11 et 6.8.12. Les administrateurs doivent vérifier la version réellement installée et appliquer le correctif correspondant à leur branche, plutôt que supposer qu’une mise à jour automatique a abouti.
L’inscription KEV atteste une exploitation réelle, mais ne démontre ni que tous les sites vulnérables ont été compromis, ni l’étendue d’une campagne particulière. Elle renforce l’urgence d’un correctif déjà publié, sans constituer une nouvelle faille distincte.
Sources :
