Le 28 octobre 2026, WordPress a publié la version 7.1.4. Ce n'est pas une mise à jour de confort : elle corrige une faille du cœur de WordPress, référencée CVE-2026-119977, qui touche toutes les versions de la 4.7 à la 7.1.3. Dans les 24 heures qui ont suivi, Wordfence indique avoir bloqué plus de 60 000 tentatives d'exploitation sur les sites qu'il protège. Si votre site tourne sous WordPress, il est concerné. Et s'il montre déjà des signes anormaux, notre page site WordPress piraté détaille la marche à suivre.
Ce que permet cette faille
La faille se situe dans le processus de mise à jour lui-même. Pendant une mise à jour, WordPress dépose temporairement des fichiers dans le dossier wp-content/upgrade/. Un attaquant qui agit dans ce court intervalle peut, sans compte sur le site, faire exécuter du code. Wordfence lui attribue un score de gravité de 8,1 sur 10.
Le correctif rend les noms de ces dossiers temporaires imprévisibles, protège mieux le dossier upgrade et empêche la copie du fichier wp-config.php, qui contient les accès à votre base de données.
Votre site est-il à jour ?
Connectez-vous à l'administration, puis ouvrez Tableau de bord, Mises à jour. Le numéro de version y est indiqué. Les versions corrigées sont, selon la branche :
| Branche | Version corrigée |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.5 | 6.5.14 |
Les versions 4.6 et antérieures ne reçoivent plus aucun correctif de sécurité. Un site resté sur une telle version est exposé à cette faille comme à toutes celles découvertes depuis des années.
Les mises à jour automatiques ne suffisent pas toujours
Les mises à jour de sécurité mineures de WordPress s'installent normalement seules. Elles peuvent pourtant être bloquées : désactivées par un ancien prestataire, empêchées par des droits de fichiers trop restrictifs, ou par un hébergeur qui n'autorise pas l'écriture. Vérifiez donc la version réellement installée plutôt que de supposer qu'elle est à jour.
Les tentatives bloquées ne sont pas des piratages
Les 60 000 tentatives citées par Wordfence ont été bloquées. Elles montrent surtout que des robots balaient Internet à la recherche de sites vulnérables, sans viser personne en particulier. Un site non corrigé finit par être trouvé.
Que faire maintenant
- Vérifiez la version de WordPress et mettez à jour si nécessaire.
- Faites une sauvegarde complète avant la mise à jour, fichiers et base de données.
- Après la mise à jour, contrôlez que le site s'affiche, que les formulaires et le paiement fonctionnent.
- Regardez la liste des utilisateurs : un administrateur inconnu est un signe d'intrusion.
- Si vous constatez une redirection, des pages inconnues ou des fichiers étranges, ne vous contentez pas de mettre à jour : la faille fermée ne retire pas ce qui a déjà été déposé.
Si le site a déjà été touché
Une mise à jour arrête la porte d'entrée, pas l'intrusion déjà en place. Il faut alors rechercher les fichiers ajoutés, les comptes créés et les injections dans la base. C'est ce que couvre notre nettoyage de site piraté, avec un diagnostic gratuit. Pour ne plus avoir à surveiller ces annonces vous-même, la surveillance Hinsight applique les correctifs chaque semaine et répare si une mise à jour casse quelque chose.
Source : [Wordfence, via COE Security](https://coesecurity.com/60000-wordpress-attack-attempts-in-24-hours-critical-rce-vulnerability-puts-websites-on-alert/), 31 octobre 2026.