CVE-2026-119977 : WordPress exposé à l’exécution de code
La vulnérabilité CVE-2026-119977, une faille de type TOCTOU (Time-of-Check Time-of-Use) dans le cœur de WordPress, est officiellement inscrite au catalogue KEV de la CISA, ce qui signifie qu’elle est exploitée activement sur le terrain.
Ce défaut touche les versions de WordPress allant de 4.7 à 7.1.3. Il permet à un attaquant sans authentification d’exécuter du code sur le serveur pendant la fenêtre de mise à jour. La cause est liée à l’utilisation de chemins de staging prévisibles et accessibles via le web lors des mises à jour complètes de l’installation.
Les équipes de sécurité ont d’ores et déjà noté des tentatives d’exploitation massives. Selon Wordfence, des milliers de requêtes ont ciblé les chemins d’installation temporaires dans les heures qui ont suivi le déploiement des correctifs, bien qu’aucun compromis réussi n’ait été rapporté jusqu’à présent.
La gravité réelle de l’attaque
Le risque est net : l’attaquant n’a pas besoin d’un compte utilisateur sur le site. Il lui suffit de cibler le chemin de staging au moment précis où WordPress dépaquette les fichiers de la nouvelle version. Cette fenêtre d’exploitation est très étroite, ce qui complexifie l’attaque, comme l’indique Defiant.
D’autres failles, bien que distinctes, partagent un vecteur d’attaque similaire. Des acteurs malveillants ont déjà tenté d’exploiter des vulnérabilités dans le processus de mise à jour de WordPress avant même l’attribution d’un CVE, témoignant d’un scan constant de ces points de faiblesse.
Qui doit réagir et comment
L’annonce de la CISA impose une réactivité immédiate. Pour les agences fédérales américaines, une échéance est fixée au 6 novembre 2026. Pour toute organisation utilisant WordPress, la première étape est d’appliquer les mesures de mitigation fournies par le fournisseur, en respectant les directives de la CISA.
Les administrateurs doivent s’assurer que leur environnement est protégé contre cette condition de concurrence temporelle. Les correctifs sont inclus dans WordPress 7.1.4 et sont également disponibles en backport pour les anciennes branches. Pour les environnements cloud, la directive BOD 26-04 exige une évaluation rigoureuse de l’exposition de chaque actif sur Internet.
Si les mesures de mitigation s’avèrent impossibles à appliquer, il est conseillé de désactiver l’utilisation du produit tant que la correction n’est pas en place. C’est une obligation de gestion des risques.
L’adoption de pratiques de gestion des risques basées sur les menaces, comme préconise la CISA, est la voie la plus sûre. Si vous avez connaissance d’une vulnérabilité exploitée qui n’est pas encore dans le catalogue KEV, la procédure de nomination existe pour qu’elle soit examinée.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-119977 | — | Élevée (CVSS 8,1) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Fresh WordPress Vulnerability in Attackers’ Crosshairs, SecurityWeek, 30 octobre 2026
- CISA Adds Two Known Exploited Vulnerabilities to Catalog, CISA, 28 octobre 2026
- GHSA-p6jj-qrp3-7m4g : WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-119977, NVD (NIST)
