La version WordPress 7.1.4 est sortie pour corriger vingt-deux failles de sécurité, et les utilisateurs sont fortement encouragés à effectuer cette mise à jour immédiatement. Parmi les correctifs, une vulnérabilité de type exécution de code à distance (RCE) affectant le processus de mise à jour a été patchée. Selon SecurityWeek, des acteurs malveillants ont commencé à exploiter cette faille de haute gravité quelques heures seulement après la publication du correctif, qui date du 28 octobre.
Cette faiblesse résidait dans le mécanisme de mise à jour du cœur de WordPress, s’agissant d’une condition de concurrence (race condition) dans lequel un attaquant pouvait potentiellement exploiter l’absence d’authentification. L’information provient de Defiant, une société de sécurité, qui explique que le défaut provenait de chemins de staging prévisibles, accessibles via le web pendant les opérations d’installation. Pour contrer cela, WordPress a modifié son comportement pour randomiser le répertoire de staging, ajouter une protection d’index, et empêcher la promotion non sécurisée des données de configuration en cours de préparation.
Ce n’est pas une histoire isolée de menace. The Hacker News rapporte que cette seule vulnérabilité a engendré près de 63 000 tentatives d’exploitation en l’espace de 24 heures. Ce fléau affectait les versions de WordPress allant de 4.7 à 7.1.3, et bien qu’aucun identifiant CVE n’ait été attribué à ce bug, son score CVSS est estimé à 8,1.
Wordfence, une autre firme de sécurité citée par Defiant, a enregistré plus de 18 500 requêtes ciblant les chemins d’installation pendant les premières 21 heures.
En plus de cette menace majeure, les mises à jour ont adressé une panoplie de problèmes plus fins. WordPress.org confirme que cette release inclut des correctifs pour divers problèmes de Cross-Site Scripting (XSS) stocké, notamment ceux liés à l’API d’interactivité et aux blocs de catégories. D’autres failles ont été signalées, telles que la possibilité pour des utilisateurs non authentifiés de découvrir des modifications non publiées dans le Customizer.
La portée de l’effort de correction est vaste. La version 7.1.4, menée par Aaron Jorbin et Nik Tsekouras, remercie les contributeurs qui ont signalé ces failles de manière responsable. Parmi les problèmes corrigés, on trouve une faiblesse dans le processus de mise à niveau qui pouvait mener à une exécution de code à distance, signalée par Umut Bayram. D’autres failles XSS ont été remontées par Rafie Muhammad (Awesome Motive, Inc.) et Anthropic, et il y a eu un défaut de déni de service dans l’API d’interactivité, signalé par Jon Surrell de l’équipe de sécurité de WordPress.
En parallèle de cette correction de sécurité, WordPress a lancé la bêta 3 de la version 7.2, qui intègre également tous les correctifs applicables. WordPress.org précise que les correctifs ont été rétroportés sur toutes les branches éligibles (actuellement jusqu’à 4.7), mais rappelle que seule la version la plus récente est activement supportée. Surveiller l’implémentation de ces correctifs reste la priorité pour quiconque gère un site sur cette plateforme.
Sources
- WordPress 7.1.4, wordpress.org
- Fresh WordPress Vulnerability in Attackers’ Crosshairs, SecurityWeek, 30 octobre 2026
- WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours, The Hacker News, 30 octobre 2026
- WordPress-Update stopft Schadcode-Lücke, Exploit-Versuche beobachtet, Heise, 30 octobre 2026