← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités WordPress activement exploitées (KEV)

Les 6 vulnérabilités WordPress dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-87902 — WordPress Core : vulnérabilité d'inclusion de fichiers à distance

  • Produit : WordPress Core
  • Ajoutée au catalogue : 25 septembre 2026
  • Échéance CISA : 28 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-98
  • Gravité : CVSS 8,1 (élevée)
  • Probabilité d’exploitation (EPSS) : 96 %
  • Technologie : WordPress

WordPress Core contient une vulnérabilité d'inclusion de fichiers à distance qui pourrait permettre à un attaquant non authentifié de faire en sorte que la résolution de modèle de page inclue un fichier local `.php` lisible choisi en dehors des répertoires de thème actifs, entraînant une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

CVE-2026-63030 — WordPress Core : vulnérabilité de conflit d'interprétation Critique

  • Produit : WordPress Core
  • Ajoutée au catalogue : 21 juillet 2026
  • Échéance CISA : 24 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-436
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 11 %
  • Technologie : WordPress

WordPress Core contient une vulnérabilité de conflit d'interprétation qui pourrait permettre à un attaquant d'effectuer une injection SQL et d'obtenir une exécution de code à distance. Cette vulnérabilité peut être chaînée avec CVE-2026-60137.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · wordpress.org

Fiche détaillée : versions, références, chronologie →

CVE-2026-60137 — WordPress Core : vulnérabilité d'injection SQL

  • Produit : WordPress Core
  • Ajoutée au catalogue : 21 juillet 2026
  • Échéance CISA : 4 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-89
  • Gravité : CVSS 5,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 5 %
  • Technologie : WordPress

WordPress Core contient une vulnérabilité d'injection SQL lorsqu'un plugin ou un thème passe une entrée non fiable au paramètre. Cette vulnérabilité peut être chaînée avec CVE-2026-63030 pour permettre à un attaquant non authentifié d'obtenir une exécution de code à distance sur les installations WordPress par défaut.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · wordpress.org

CVE-2020-25213 — WordPress, plugin File Manager : vulnérabilité d'exécution de code à distance

  • Produit : WordPress File Manager Plugin
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 3 mai 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 97 %
  • Technologie : WordPress

Le plugin File Manager de WordPress contient une vulnérabilité d'exécution de code à distance qui permet à des utilisateurs non authentifiés d'exécuter du code PHP et de téléverser des fichiers malveillants sur un site cible.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-11738 — WordPress, Snap Creek Duplicator Plugin : vulnérabilité de téléchargement de fichiers

  • Produit : WordPress Snap Creek Duplicator Plugin
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 3 mai 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 98 %
  • Technologie : WordPress

Le plugin Snap Creek Duplicator de WordPress contient une vulnérabilité de téléchargement de fichiers lorsqu'un administrateur crée une nouvelle copie de son site, ce qui permet à un attaquant de télécharger les fichiers générés depuis son tableau de bord WordPress. Cette vulnérabilité affecte Duplicator et Dulplicator Pro.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-9978 — WordPress, Social Warfare Plugin : vulnérabilité cross-site scripting (XSS)

  • Produit : WordPress Social Warfare Plugin
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 3 mai 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-79
  • Gravité : CVSS 6,1 (moyenne)
  • Probabilité d’exploitation (EPSS) : 73 %
  • Technologie : WordPress

Le plugin WordPress Social Warfare contient une vulnérabilité cross-site scripting (XSS) qui permet une exécution de code à distance. Cette vulnérabilité affecte Social Warfare et Social Warfare Pro.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)