Le 28 octobre 2026, WordPress a publié la version 7.1.4, une mise à jour de sécurité qui corrige une vingtaine de problèmes, dont une faille grave : pendant quelques instants, au moment où WordPress se met lui-même à jour, un pirate peut réussir à exécuter son propre code sur le serveur, sans identifiant ni mot de passe (référence CVE-2026-119977, gravité 8,1 sur 10).
La fenêtre d’attaque est très courte (quelques secondes pendant la mise à jour du cœur de WordPress), mais les pirates ne perdent pas de temps : dès le lendemain, la société de sécurité Wordfence a bloqué près de 63 000 tentatives en 24 heures visant les fichiers temporaires de mise à jour. Toutes les sources ne confirment pas encore de piratage réussi, mais il faut agir dès maintenant.
Êtes-vous concerné ?
- Oui, si votre site tourne sous WordPress 4.7 à 7.1.3, quel que soit l’hébergeur. Cela représente la quasi-totalité des sites WordPress qui n’ont pas encore reçu la 7.1.4.
- Le risque existe surtout au moment d’une mise à jour du cœur de WordPress : c’est justement pour cela qu’il ne faut pas attendre, et passer d’un coup à la version corrigée.
- Les sites encore en WordPress 4.6 ou plus ancien ne reçoivent plus aucun correctif : ils sont à moderniser d’urgence.
- Non, si vous ne faites que visiter des sites WordPress.
Les versions corrigées
| Version de WordPress | Que faire |
|---|---|
| 7.1.x | Passer en 7.1.4 (ou plus récent) |
| 4.7 à 7.0.x | WordPress publie progressivement une version corrigée pour chaque branche : installez la dernière version proposée dans Tableau de bord › Mises à jour, idéalement en passant directement en 7.1.4 |
| 4.6 et plus ancien | Plus de correctif : mise à niveau complète nécessaire (après sauvegarde) |
Que faire ?
- Vérifiez votre version : Tableau de bord › Mises à jour. Si la 7.1.4 n’est pas installée, cliquez sur « Mettre à jour maintenant » après une sauvegarde.
- Ne vous fiez pas aveuglément aux mises à jour automatiques : elles fonctionnent sur la plupart des sites, mais vérifiez que la version a bien changé.
- Bloquez l’accès web au dossier
wp-content/upgrade/(le dossier temporaire visé par les attaques). Sous Apache, un fichier.htaccesscontenantRequire all denieddans ce dossier suffit ; sous Nginx :location ^~ /wp-content/upgrade/ { deny all; }. Si vous utilisez un pare-feu applicatif (Cloudflare, Wordfence…), ajoutez une règle qui bloque ce chemin. - Cherchez des traces : fichiers PHP inconnus dans
wp-content/upgrade/, comptes administrateurs que vous ne connaissez pas, extensions ajoutées sans votre accord. Dans les journaux du serveur, des requêtes vers/wp-content/upgrade/…/setup-config.phpdoivent alerter. - Si vous avez un doute : changez les mots de passe administrateur et FTP/SFTP, et faites vérifier le site avant de le remettre en confiance.
Le conseil BETOTECH
Cette faille arrive juste après les failles PHP2Shell dans PHP lui-même : un site WordPress doit être à jour à la fois pour WordPress, ses extensions et la version de PHP du serveur. Une sauvegarde automatique quotidienne, stockée ailleurs que sur l’hébergement, reste votre meilleure assurance. Vous gérez plusieurs sites ou vous ne savez pas où regarder ? contactez-nous : nous vérifions et sécurisons votre WordPress.
Sources
- WordPress.org – WordPress 7.1.4 (annonce officielle, 28/10/2026)
- The Hacker News – WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in 24 Hours (30/10/2026)
- SecurityOnline – WordPress Core Vulnerability Exploited in the Wild (30/10/2026)
- OffSeq Radar – CVE-2026-119977
Article publié le 2 novembre 2026. Les informations de sécurité évoluent vite : avant d’agir, vérifiez toujours l’avis officiel de l’éditeur (liens ci-dessus).