Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 29 octobre 2026 un avis sur plusieurs vulnérabilités de WordPress. Il vise les versions antérieures à 7.1.4 et signale notamment des risques d’exécution de code à distance, de déni de service et d’atteinte à la confidentialité des données. L’éditeur a diffusé une mise à jour de sécurité le 28 octobre.
Une faiblesse du processus de mise à jour et plusieurs failles XSS
Dans son avis CERTFR-2026-AVI-1420, le CERT-FR recense cinq grandes catégories de risques : confidentialité des données, contournement de mesures de sécurité, déni de service à distance, exécution de code arbitraire à distance et injection de scripts intersites, dite XSS. Cette classification décrit des conséquences techniques possibles ; elle ne constitue pas un constat d’exploitation généralisée des sites concernés.
Le bulletin de sécurité WordPress 7.1.4 précise notamment qu’une faiblesse du mécanisme de mise à niveau peut permettre une exécution de code à distance pendant la fenêtre d’actualisation. L’éditeur décrit aussi plusieurs vulnérabilités XSS persistantes, touchant notamment certains blocs de contenu, l’API Interactivity et des fonctions de personnalisation. Une autre anomalie pouvait exposer à des utilisateurs non authentifiés des modifications de personnalisation non publiées.
Les risques ne sont pas identiques pour toutes les installations : ils dépendent des fonctionnalités utilisées, des droits disponibles et des conditions propres à chaque vulnérabilité. Ni le CERT-FR ni le bulletin de l’éditeur ne fournissent, dans ces publications, de décompte de sites effectivement compromis par ces failles.
Les administrateurs invités à vérifier la version installée
WordPress recommande une mise à jour immédiate. Les administrateurs peuvent consulter la rubrique « Mises à jour » de leur tableau de bord et installer la version 7.1.4. Lorsque les mises à jour automatiques en arrière-plan sont activées et prises en charge par l’installation, leur déploiement peut déjà avoir commencé. Une vérification de la version effectivement exécutée reste utile pour les responsables de sites et leurs prestataires.
La question concerne les équipes chargées de la sécurité des systèmes d’information, mais aussi les exploitants de sites institutionnels, associatifs et d’entreprise. La maintenance du système de gestion de contenu s’ajoute à celle des extensions, des thèmes et de l’hébergement : corriger le noyau WordPress ne dispense pas de suivre les autres composants.
Des correctifs également prévus pour d’anciennes branches
L’éditeur indique que les correctifs ont été rétroportés vers les branches encore éligibles aux mises à jour de sécurité, jusqu’à la version 4.7, avec une diffusion progressive. Il rappelle toutefois que seule la version la plus récente bénéficie d’une prise en charge active complète. Le périmètre « antérieur à 7.1.4 » cité par le CERT-FR doit donc être lu avec cette politique de correctifs en tête, sans supposer qu’une ancienne branche est nécessairement restée dépourvue de mise à jour.
La version 7.1.4 est une publication intermédiaire consacrée à la sécurité. WordPress annonce une prochaine version majeure 7.2 pour le 8 décembre 2026, tandis que les correctifs applicables sont également intégrés à la version de test 7.2 Beta 3. Pour les sites en production, la priorité immédiate demeure la vérification des mises à jour de sécurité effectivement disponibles.
