WordPress : Prime Mover corrige une injection d’objets critique dans ses migrations

Bulletin du 25 octobre 2026. La fiche CVE-2026-115806, publiée au registre CVE le 24 octobre, décrit une faille critique de Prime Mover – Backup and Migration, l’extension WordPress de Codexonics. Wordfence, qui crédite le chercheur Civitasmass, lui attribue 9,8/10 en CVSS 3.1. La divulgation initiale date du 22 octobre.

Les versions jusqu’à 2.2.1 incluse désérialisent des données non fiables pendant les opérations de migration. Un visiteur non authentifié peut introduire des données malveillantes dans le contenu du site ; le déclenchement décrit suppose ensuite un export ou une restauration par un administrateur. La présence d’une chaîne d’objets exploitable dans une bibliothèque intégrée aggrave le risque de modifications non autorisées et de compromission. Les sources consultées ne documentent pas d’exploitation active.

Mettre à jour vers 2.2.2 avant toute migration : le journal officiel de Codexonics, daté du 19 octobre, annonce le durcissement de la désérialisation contre l’injection d’objets et la mise à jour de Freemius. Attention : la fiche Wordfence mise à jour le 24 octobre indique encore « aucun correctif connu », contrairement au journal éditeur et à WordPress.org.

Contrôler la version effectivement installée et suspendre les exports/restaurations avec une version vulnérable. Les correctifs PHP restent nécessaires.

Mots-clés suggérés : WordPress, Prime Mover, sauvegarde, migration, cybersécurité.

Sources :

Wordfence, avis CVE-2026-115806 publié le 22 et mis à jour le 24 octobre 2026

Codexonics, journal éditeur de Prime Mover 2.2.2 du 19 octobre 2026

WordPress.org, fiche officielle et journal de version 2.2.2, consultés le 25 octobre 2026