Dans cet article
Deux failles graves ont été publiées entre le 2 et le 9 novembre 2026 sur des extensions WordPress répandues dans les petits sites : WP Duplicate, une extension de migration, et Ultra Addons for Contact Form 7, un complément du célèbre formulaire de contact. Toutes deux peuvent être exploitées par quelqu'un qui n'a aucun compte sur votre site. Si l'une d'elles est installée chez vous, prenez cinq minutes aujourd'hui. Si vous constatez déjà des signes anormaux, notre page site WordPress piraté détaille la marche à suivre, et la rubrique dépannage et site piraté regroupe tous les cas.
WP Duplicate : un envoi de fichiers ouvert à tous (CVE-2026-123751)
WP Duplicate sert à copier ou déplacer un site WordPress d'un hébergement à un autre. La faille, référencée CVE-2026-123751 et publiée le 9 novembre 2026 par WPScan, touche toutes les versions jusqu'à la 1.1.11 incluse.
Le problème est simple à comprendre : une fonction de l'extension accepte des fichiers sans vérifier qui les envoie, ni ce qu'ils contiennent, ni où ils seront rangés. Un attaquant peut donc déposer un fichier PHP sur votre serveur, puis l'exécuter. À partir de là, il a la main sur le site : création d'administrateurs, redirections, pages de spam, vol de la base de données.
Deux points rendent ce cas sérieux :
- Aucune version corrigée n'était indiquée au moment de la publication de l'avis.
- La description de l'avis indique que la faille est exploitée, même si les bases de suivi des vulnérabilités ne disposaient pas encore de preuves publiques détaillées le jour de la publication.
Que faire si WP Duplicate est installé
- Désactivez puis supprimez l'extension. Une extension de migration n'a pas besoin de rester active une fois le déménagement terminé. C'est vrai pour celle-ci comme pour les autres outils du même type.
- Cherchez des fichiers PHP récents dans wp-content/uploads et à la racine du site. Un fichier PHP dans le dossier des envois n'a jamais de raison d'être.
- Vérifiez la liste des administrateurs (Utilisateurs, filtre Administrateur) et supprimez tout compte que vous ne reconnaissez pas, après l'avoir noté.
- Si vous avez besoin de migrer un site, utilisez un autre outil le temps qu'un correctif sorte, et supprimez-le à la fin.
Ultra Addons for Contact Form 7 : une suppression de fichiers qui ouvre la porte (CVE-2026-102435)
La seconde faille, CVE-2026-102435, a été publiée par le NIST le 2 novembre 2026 avec une note de 9,8 sur 10. Elle touche Ultra Addons for Contact Form 7 jusqu'à la version 3.5.54 incluse, et plus précisément son module de génération de PDF.
Ici, l'attaquant ne dépose rien : il supprime des fichiers. La fonction qui gère les pièces jointes PDF ne contrôle pas correctement les chemins qu'on lui transmet. En visant le fichier wp-config.php, qui contient les réglages de connexion à la base de données, l'attaquant fait croire à WordPress qu'il n'est pas installé. Le site affiche alors l'écran d'installation, et la personne qui le remplit la première peut relier le site à sa propre base et en prendre le contrôle.
La faille ne fonctionne que si deux conditions sont réunies :
- le module PDF Generator de l'extension est activé ;
- au moins un formulaire Contact Form 7 est réglé pour générer un PDF.
Le journal des modifications de l'extension indique que la version 3.5.55 corrige des problèmes signalés par Wordfence, et des versions plus récentes sont disponibles depuis. Au 3 novembre 2026, aucune exploitation n'avait été rapportée publiquement, mais une faille notée 9,8 et exploitable sans compte n'a pas vocation à rester tranquille longtemps.
Que faire si Ultra Addons for Contact Form 7 est installé
- Mettez l'extension à jour vers la dernière version proposée dans Extensions, Extensions installées.
- Si vous n'utilisez pas la génération de PDF, désactivez ce module dans les réglages de l'extension : moins de fonctions actives, moins de portes.
- Ouvrez votre site dans une fenêtre de navigation privée. Si l'écran d'installation de WordPress apparaît, ne le remplissez pas et ne laissez personne le faire : le fichier wp-config.php a disparu. Mettez le site hors ligne depuis votre hébergement et restaurez ce fichier depuis une sauvegarde.
Comment savoir si votre site a déjà été touché
Une mise à jour ferme la porte, mais elle ne retire pas ce qui serait entré avant. Quelques vérifications rapides :
- un administrateur inconnu dans la liste des utilisateurs ;
- des fichiers .php dans wp-content/uploads, ou des fichiers aux noms aléatoires à la racine ;
- une redirection vers un autre site, souvent visible seulement sur téléphone ou en arrivant depuis Google ;
- un écran d'installation de WordPress, même bref, ou un message d'erreur de connexion à la base de données.
Notre article comment savoir si mon site est piraté détaille dix vérifications, et celui sur la faille Bricksforge montre comment un simple dépôt de fichier se transforme en prise de contrôle complète.
La leçon de la semaine : moins d'extensions, mieux tenues
Ces deux failles ont un point commun. Elles touchent des fonctions annexes (migration, génération de PDF) que beaucoup de propriétaires de sites ont activées une fois, puis oubliées. Chaque extension installée est du code exécuté sur votre serveur, qu'elle serve ou non. Faites le tri une fois par trimestre : ce qui ne sert plus se supprime, ce qui sert se met à jour.
Si vous avez un doute sur l'état de votre site après l'une de ces failles, demandez un diagnostic gratuit depuis la rubrique dépannage ou appelez le 04 82 53 39 32. Nous vous disons si le site est sain ou s'il faut nettoyer, avant toute intervention.
Sources : avis WPScan sur CVE-2026-123751, repris par Threat Radar, 9 novembre 2026 ; fiche CVE-2026-102435 (OpenCVE, d'après le NVD) ; SmartScope, 3 novembre 2026.