# WordPress RCE : le correctif peut exposer les sites en cours de mise à jour

_Publié le 6 novembre 2026 — https://ip73.fr/2026/11/06/wordpress-rce-le-correctif-peut-exposer-les-sites-en-cours-de-mise-a/_

Le lancement de la version 7.1.4 de WordPress a corrigé une faille grave, mais les chercheurs alertent : le processus même d'installation du correctif peut exposer les sites aux attaques. Cette vulnérabilité, identifiée sous le CVE-2026-119977, repose sur une condition de concurrence (race condition) qui permet à un attaquant sans authentification d'atteindre l'exécution de code à distance (RCE).

Le problème se situe dans la manière dont WordPress décompresse les nouveaux fichiers lors d'une mise à jour complète. Selon Umut Bayram, chercheur chez Picus Security, les fichiers sont extraits dans un répertoire prévisible à l'intérieur du dossier de mise à jour servi par le serveur web. Si un attaquant parvenait à gagner la course contre ce processus d'extraction, il pouvait injecter du code.

Les autorités américaines, via la CISA, ont d'ailleurs catalogué cette faille comme étant activement exploitée. Le CVSS lui attribue un score de 8,1 sur 10, une sévérité élevée. Ce qui est troublant, c'est que le mécanisme de correctif lui-même, en utilisant l'ancien code pour décompresser les nouveaux fichiers, laisse une fenêtre d'opportunité.

## Ce qui est touché et la gravité réelle

La vulnérabilité touche toutes les versions de WordPress, de la 4.7 à la 7.1.3. Il faut noter que même avec le correctif installé, le processus se déroule en utilisant l'ancien code de l'instance du site, comme l'a confirmé Bayram. Cela laisse une fenêtre d'opportunité : un attaquant averti peut cibler l'instant exact où le fichier temporaire est généré avant d'être remplacé par le code mis à jour.

Avant la correction, l'attaquant pouvait écrire un fichier de configuration malveillant, comme un `wp-config.php` modifié, dans ce répertoire temporaire, qui serait ensuite réinjecté dans le site en production. Bien que la partie de la correction empêche ce scénario de se reproduire une fois l'installation terminée, cette fenêtre d'attaque persiste pendant l'installation elle-même.

Les chercheurs ont souligné que seules les mises à jour par paquet complet sont concernées ; les paquets partiels, plus spécifiques, ne présentent un risque que s'ils contiennent ces fichiers d'installation.

## Que faire maintenant

La recommandation la plus ferme de Bayram est de couper l'accès web au dossier `wp-content/upgrade/` tant que la mise à jour n'est pas finalisée. Ce blocage, effectué au niveau de la configuration du serveur (Nginx ou Apache), ne brisera pas le fonctionnement interne de WordPress, car il y travaille directement au niveau du système de fichiers. Si vous êtes limité à l'édition de fichiers `.htaccess`, une règle de redirection 403 peut être mise en place.

Le chemin le plus sûr, si vous ne pouvez pas modifier la configuration serveur, consiste à procéder à une mise à jour manuelle. Il faut sauvegarder l'intégralité du site, décompresser la nouvelle version dans un dossier inaccessible via le web, remplacer les fichiers cœur sans toucher aux fichiers sensibles comme `wp-config.php` ou `wp-content`, puis exécuter la mise à jour de la base de données.

Même l'exécution de la commande `wp core update` via WP-CLI ne suffit pas, car elle emploie le même mécanisme de mise à jour interne. Pour les sites fonctionnant avec des versions antérieures à 4.6, aucune correction n'est disponible ; ces installations nécessitent une migration urgente vers des versions prises en charge.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-119977 | WordPress WordPress Core | Élevée (CVSS 8,1) | Oui (KEV, 3 novembre 2026) | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST), [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [A race condition during core updates that could lead to remote code execution](https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg), github.com
- [wordpress-develop/src/wp-admin/includes/class-core-upgrader.php at 7.1.3 · WordPress/wordpress-develop](https://github.com/WordPress/wordpress-develop/blob/7.1.3/src/wp-admin/includes/class-core-upgrader.php), github.com
- [Installing the Fix for an Exploited WordPress Flaw Can Expose Some Sites One Last Time](https://thehackernews.com/2026/11/installing-fix-for-exploited-wordpress.html), The Hacker News, 6 novembre 2026
- [CISA flags WordPress RCE flaw as actively exploited in attacks](https://www.bleepingcomputer.com/news/security/cisa-flags-wordpress-rce-flaw-as-actively-exploited-in-attacks/), BleepingComputer, 4 novembre 2026
- [Weekly Report: WordPressに複数の脆弱性](https://www.jpcert.or.jp/wr/2026/wr261105.html#5), JPCERT/CC, 5 novembre 2026
- [GHSA-p6jj-qrp3-7m4g](https://github.com/advisories/GHSA-p6jj-qrp3-7m4g) : WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-119977](https://nvd.nist.gov/vuln/detail/CVE-2026-119977), NVD (NIST)
- [CVE-2026-119977 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-119977), CISA