Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 29 octobre 2026 plusieurs vulnérabilités affectant WordPress. Son avis de sécurité CERTFR-2026-AVI-1420 mentionne notamment des risques d’exécution de code à distance, de déni de service et d’atteinte à la confidentialité des données. Le correctif principal est diffusé avec WordPress 7.1.4, publié la veille.
Pour les organismes qui exploitent des sites institutionnels, des portails d’information ou des espaces de publication, l’enjeu porte sur la maîtrise des versions déployées, la vérification des mises à jour et le contrôle des accès à l’administration. La nature et les conditions d’exploitation diffèrent selon les failles : toutes ne permettent pas une attaque à distance sans prérequis.
Une faille du processus de mise à jour et plusieurs injections de scripts
Dans sa note de publication du 28 octobre, l’équipe de sécurité de WordPress détaille une faiblesse du mécanisme de mise à niveau pouvant conduire à l’exécution de code à distance pendant la fenêtre de mise à jour. Cette précision est déterminante pour apprécier le risque : l’éditeur ne décrit pas une exécution de code systématiquement possible sur n’importe quel site à tout moment.
La version 7.1.4 corrige aussi plusieurs vulnérabilités de type cross-site scripting (XSS) stocké. Elles concernent notamment certains blocs de contenu, l’API Interactivity, des éléments de personnalisation du site et des identifiants d’utilisateur spécialement construits. Dans ce type de scénario, un contenu malveillant peut être enregistré puis exécuté dans le navigateur d’une personne consultant une page concernée, selon les droits et les conditions propres à chaque faille.
WordPress mentionne également la possibilité de découvrir des modifications de personnalisation non publiées sans être authentifié, ainsi qu’un problème d’accès à certaines notes par des utilisateurs privilégiés qui ne disposent pas du droit de modifier le contenu associé. Ces défauts relèvent de la confidentialité et du contrôle des autorisations, au-delà du seul risque de compromission technique.
Versions concernées : vérifier les correctifs réellement installés
Le CERT-FR indique que les versions antérieures à WordPress 7.1.4 sont concernées par son avis. L’éditeur recommande une mise à jour immédiate et précise que les corrections ont été adaptées aux anciennes branches encore éligibles aux correctifs de sécurité, avec une diffusion progressive de ces versions de maintenance. Il faut donc vérifier la disponibilité d’un correctif adapté à la branche effectivement utilisée, plutôt que déduire du seul numéro de version qu’un site bénéficie déjà de toutes les corrections.
Les responsables techniques peuvent contrôler la version installée depuis l’administration WordPress et appliquer les mises à jour de sécurité après les vérifications opérationnelles nécessaires, notamment sur les extensions et les thèmes. Pour les sites utilisant les mises à jour automatiques en arrière-plan, l’éditeur indique que leur déploiement peut démarrer automatiquement ; son achèvement doit néanmoins être contrôlé.
Un avis de sécurité, pas une annonce de compromission généralisée
L’avis de l’ANSSI décrit des vulnérabilités et leurs effets possibles. Il ne constitue pas, à lui seul, la preuve que des sites français ont été compromis à grande échelle par ces défauts. La publication des correctifs fournit en revanche un repère opérationnel clair aux équipes chargées de la sécurité des systèmes d’information et de la continuité des services numériques.
WordPress indique que la version 7.1.4 est une publication de sécurité à cycle court et prévoit la prochaine version majeure, 7.2, pour le 8 décembre 2026. D’ici là, l’attention des exploitants porte sur les correctifs de la branche en production et sur la vérification effective de leur installation.
