Aller au contenu
Me contacter

Actualité

Faille WordPress : vérifiez votre mise à jour

Le 28 octobre 2026, WordPress a publié la version 7.1.4, qui corrige 22 failles. L'une d'elles permet à un attaquant sans compte d'exécuter son propre code sur le serveur pendant une mise à jour du site, et elle est déjà exploitée. Voici les versions touchées, comment vérifier que la mise à jour a bien eu lieu, et quoi faire si le site a été piraté.

Faire vérifier votre site Vérifier votre version
  • 28 octobre 2026WordPress 7.1.4 corrige 22 failles
  • 3 novembre 2026Faille inscrite parmi les failles exploitées
  • 4.7 à 7.1.3Versions touchées par la plus grave
  • 8 décembre 2026Sortie prévue de WordPress 7.2

Par Mathieu Mari, développeur freelance. Publié le , mis à jour le . Je crée des sites sur mesure sans WordPress et je vends la maintenance, l'audit de sécurité et la refonte de sites : ce sujet touche donc mon activité. Page ni commandée ni relue par WordPress, aucun lien rémunéré, marques de leurs titulaires.

Ce qui a changé

  1. Publication de cette page.
  2. Date limite donnée par la CISA aux administrations fédérales américaines pour corriger. Le CERT-FR ajoute le numéro de la faille à son avis.
  3. La CISA, l'agence américaine de cybersécurité, inscrit la faille dans son catalogue des failles exploitées.
  4. Faille publiée sous le numéro CVE-2026-119977, gravité 8,1 sur 10.
  5. Avis du CERT-FR, le centre d'alerte de l'État, sur les versions antérieures à 7.1.4.
  6. WordPress 7.1.4, et une version corrigée pour chaque branche jusqu'à la 4.7.39.

Le 3 novembre 2026

Faille WordPress : ce qui s'est passé.

La faille WordPress de la mise à jour du cœur permet à un attaquant sans compte d'exécuter du code sur le serveur, le temps d'une mise à jour. WordPress l'a corrigée le 28 octobre 2026 avec la version 7.1.4. Le 3 novembre, l'agence américaine de cybersécurité (CISA) l'a inscrite dans son catalogue des failles déjà exploitées.

Une faille déjà exploitée

La CISA tient la liste publique des failles dont l'exploitation est avérée. Elle y a ajouté celle-ci le 3 novembre, sous le numéro CVE-2026-119977, et a donné aux administrations fédérales américaines jusqu'au 6 novembre pour corriger. Cette date ne vaut pas pour une entreprise française, mais le signal est le même : la faille sert déjà, la correction n'attend pas.

Ce que permet la faille

D'après la base américaine des failles (NVD), elle touche WordPress de la version 4.7 à la version 7.1.3. Pendant une mise à jour complète du cœur, les fichiers en cours d'installation passent par un emplacement prévisible, joignable depuis Internet. Un attaquant qui vise ce moment peut faire exécuter son propre code au serveur. Gravité : 8,1 sur 10, jugée élevée.

22 failles corrigées en une fois

La page de version de WordPress liste 22 failles corrigées par la 7.1.4. La plupart permettent à un compte du site (contributeur, auteur ou éditeur) de glisser du code dans des pages vues par d'autres. Une autre laissait voir à un visiteur non connecté des changements du site pas encore publiés. Au 13 novembre, parmi ces 22, seule la faille de la mise à jour figure dans le catalogue de la CISA.

En France, un avis du CERT-FR

Le CERT-FR, centre d'alerte de l'État rattaché à l'ANSSI, a publié le 29 octobre un avis sur les versions de WordPress antérieures à 7.1.4 : exécution de code à distance, déni de service, fuite de données et injection de code. Il renvoie au bulletin de WordPress pour les correctifs.

Sources officielles : billet de sécurité de WordPress 7.1.4, catalogue des failles exploitées de la CISA, fiche NVD de la faille, avis CERTFR-2026-AVI-1420 (lus le 14 novembre).

Qui est touché

Quelles versions de WordPress sont touchées.

Toutes les versions de WordPress de 4.7 à 7.1.3 sont touchées par la faille de la mise à jour. WordPress a publié une version corrigée pour chaque branche depuis la 4.7 : il suffit d'avoir la dernière de la sienne. Les versions 4.6 et antérieures ne reçoivent plus aucun correctif de sécurité.

Version corrigée de chaque branche de WordPress après le 28 octobre 2026, et nombre de failles corrigées sur 22
Votre version Version corrigée Failles corrigées
WordPress 7.1 7.1.4 22 sur 22
WordPress 7.0 7.0.8 22 sur 22
WordPress 6.9 6.9.11 22 sur 22
WordPress 6.8 et 6.7 6.8.12 et 6.7.11 20 sur 22
WordPress 6.6 6.6.11 19 sur 22
WordPress 6.5 et 6.4 6.5.14 et 6.4.14 17 sur 22
WordPress 5.9 à 6.3 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14 9 sur 22
WordPress 5.0 à 5.8 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19 6 sur 22
WordPress 4.9 4.9.35 4 sur 22
WordPress 4.8 et 4.7 4.8.34 et 4.7.39 2 sur 22
WordPress 4.6 et avant Aucune Plus de correctifs de sécurité

La dernière colonne compte, parmi les 22 failles du 28 octobre, celles qui touchaient la branche. WordPress le rappelle : seule la dernière version est activement suivie, les anciennes branches reçoivent ces correctifs par courtoisie. La page de version 7.1.4

En cinq minutes

Mise à jour WordPress : vérifier qu'elle a bien eu lieu.

Depuis WordPress 3.7, les mises à jour de sécurité s'installent seules sur la plupart des sites, sans clic. La plupart, pas tous : l'hébergement, une extension ou un réglage peut les bloquer. La mise à jour de WordPress se vérifie en quelques minutes dans l'administration du site.

  • La version installée. Tableau de bord, encadré « D'un coup d'œil » : sa dernière ligne donne la version de WordPress et le thème actif. Elle doit être au moins celle du tableau, 7.1.4 pour la branche 7.1.
  • L'écran des mises à jour. Tableau de bord > Mises à jour : WordPress dit si la dernière version est installée, et liste les extensions et les thèmes en retard.
  • La santé du site. Outils > Santé du site : une alerte critique apparaît quand les mises à jour en arrière-plan ne fonctionnent pas comme prévu.
  • L'e-mail. Par défaut, WordPress écrit à l'adresse d'administration après une mise à jour automatique du cœur, qu'elle ait réussi ou échoué. Cherchez un message du 28 octobre ou des jours suivants.

Si la version est plus ancienne, faites une sauvegarde, puis lancez la mise à jour depuis Tableau de bord > Mises à jour. Sans accès à l'administration, demandez la version à votre agence ou à votre hébergeur : la réponse tient en une ligne.

Sources officielles : mettre à jour WordPress, écran Santé du site, mises à jour automatiques du cœur.

Pas seulement le cœur

Sécurité WordPress : les extensions et le thème aussi.

La sécurité de WordPress ne s'arrête pas au cœur : la version 7.1.4 ne touche ni aux extensions ni au thème. Ils se mettent à jour à part, et leur mise à jour automatique n'est pas active d'office : depuis WordPress 5.5, elle s'active extension par extension et thème par thème.

  • Les extensions. Écran Extensions : une colonne permet d'activer la mise à jour automatique de chacune, ou de plusieurs à la fois.
  • Le thème. Apparence > Thèmes, fiche du thème : un lien active ses mises à jour automatiques.
  • Ce qui ne sert plus. Une extension désactivée reste sur le serveur. Le guide de sécurité de WordPress conseille de supprimer celles qu'on n'utilise pas.
  • Les alertes. WordPress envoie un e-mail après chaque mise à jour automatique d'extension ou de thème, réussie ou non, et l'écran Santé du site signale les extensions en attente.

WordPress l'écrit lui-même dans l'écran Santé du site : les extensions ont un accès étendu au site, les tenir à jour est essentiel. Les mises à jour automatiques des extensions et des thèmes reposent sur les tâches planifiées du site : si elles ne tournent pas, la mise à jour n'a pas lieu, d'où l'intérêt de vérifier.

Sources officielles : mises à jour automatiques des extensions et des thèmes, guide de sécurité de WordPress.

Si c'est déjà arrivé

Site WordPress piraté : les signes et les étapes.

Un site WordPress piraté ne se voit pas toujours. La documentation de WordPress cite ces signes : alerte de Google ou de Bing, site coupé par l'hébergeur, antivirus des visiteurs qui le bloquent, comptes inconnus créés dans l'administration, pages modifiées à l'écran. Voici les étapes, dans l'ordre.

  1. Noter ce que vous voyez

    Quoi, depuis quand, ce qui a changé récemment, avec des captures d'écran. Elles serviront à l'hébergeur, au prestataire et, au besoin, à la plainte.

  2. Prévenir l'hébergeur

    Il peut confirmer le piratage, isoler le site, et dire quelles sauvegardes il garde.

  3. Changer tous les accès

    Administration du site, compte d'hébergement, accès aux fichiers et à la base de données, pour chaque utilisateur. Puis une seconde fois, le site nettoyé.

  4. Repartir d'une sauvegarde saine

    Garder d'abord une copie de l'état piraté, puis restaurer une sauvegarde d'avant l'attaque et tout mettre à jour : cœur, extensions, thème.

  5. Faire lever les alertes

    Le rapport sur les problèmes de sécurité de Google Search Console dit si le site est signalé. Une fois tout le site propre, il permet de demander un examen.

  6. Données clients : 72 heures

    Si des données personnelles ont pu fuiter ou être modifiées, la violation se notifie à la CNIL dans les 72 heures, dès qu'elle présente un risque pour les personnes.

Cybermalveillance.gouv.fr, le dispositif national d'assistance, rappelle aussi de conserver les preuves et de porter plainte au commissariat ou à la gendarmerie. Un site WordPress hacké ne se nettoie pas à moitié : un piratage ajoute souvent des fichiers, et un seul oublié peut rouvrir la porte. Le guide de WordPress La fiche réflexe de Cybermalveillance La notification à la CNIL

Et après

Après la faille : maintenance suivie ou refonte.

Une faille corrigée ne règle pas la suite. L'équipe de sécurité de WordPress compte quatre versions de sécurité en 41 jours, et sept depuis la mi-juillet 2026. Un site WordPress reste sûr s'il est suivi : quelqu'un vérifie chaque mois le cœur, les extensions, le thème et les sauvegardes.

  • Maintenance suivie

    Garder WordPress, avec quelqu'un qui surveille chaque mois mises à jour, sauvegardes et alertes : votre agence, votre hébergeur ou un prestataire. C'est la maintenance WordPress.

  • Audit de sécurité

    Savoir où en est le site avant de choisir : versions installées, extensions abandonnées, failles connues, sauvegardes.

  • Refonte

    Quand le site tourne sous une version qui ne reçoit plus rien, ou que son thème n'est plus suivi, refaire peut coûter moins que réparer.

Pour un site WordPress, je propose l'audit de sécurité, la maintenance de site (pour un site fait ailleurs, elle commence par un état des lieux) et la refonte sur mesure, qui repart de l'usage du site plutôt que de son code. Si votre agence suit déjà votre WordPress, posez-lui une seule question : la 7.1.4 est-elle installée ?

À surveiller

WordPress 7 : la 7.1.4 aujourd'hui, la 7.2 le 8 décembre.

WordPress 7 est la version en cours : la 7.1.4 est la dernière publiée au 14 novembre 2026. La prochaine version majeure, WordPress 7.2, est prévue le 8 décembre 2026 selon le calendrier publié par l'équipe qui la prépare.

  • 17 novembre 2026. Première version candidate de WordPress 7.2.
  • 24 novembre et 1er décembre. Deuxième et troisième versions candidates.
  • 8 décembre 2026. Sortie prévue de WordPress 7.2.
  • Sans date. Toute nouvelle version de sécurité : WordPress l'annonce sur son blog le jour de sa sortie.

Une version majeure comme la 7.2 ne s'installe seule que sur les sites créés depuis WordPress 5.6, ou réglés pour. Sur un site qui dépend de ses extensions, testez-la d'abord sur une copie. Je mets cette page à jour à chaque annonce de WordPress, sur source officielle d'abord.

Sources officielles : calendrier de WordPress 7.2, bilan de l'équipe de sécurité du 29 octobre.

Questions fréquentes

Faille WordPress : vos questions.

Vos questions sur la faille WordPress portent sur les versions touchées, la mise à jour automatique, le piratage et WordPress 7.2.

Mathieu Mari

Développeur freelance.

Qu'est-ce que la faille WordPress CVE-2026-119977 ?

Une faille de la mise à jour du cœur de WordPress, présente de la version 4.7 à la 7.1.3 : pendant une mise à jour complète, un attaquant sans compte peut exécuter du code sur le serveur. Corrigée le 28 octobre 2026 par WordPress 7.1.4, elle figure depuis le 3 novembre au catalogue des failles exploitées de la CISA.

Mon site WordPress est-il touché ?

Oui, s'il tourne sous une version de 4.7 à 7.1.3 sans le correctif de sa branche : 7.1.4, 7.0.8, 6.9.11, 6.8.12 et ainsi de suite jusqu'à 4.7.39. Une version 4.6 ou plus ancienne ne reçoit plus aucun correctif : le site doit passer à une version suivie.

La mise à jour de WordPress se fait-elle toute seule ?

Les mises à jour de sécurité du cœur, oui, sur la plupart des sites depuis WordPress 3.7, si l'hébergement le permet. Les extensions et les thèmes, seulement si leur mise à jour automatique a été activée. La version installée se lit dans le tableau de bord, encadré « D'un coup d'œil ».

Comment savoir si mon site WordPress a été piraté ?

Les signes cités par WordPress : alerte de Google ou de Bing, site coupé par l'hébergeur, antivirus qui le bloquent, comptes inconnus dans l'administration, pages modifiées. Un site piraté peut aussi ne rien montrer : seule une analyse de ses fichiers et de sa base le dit.

Faut-il passer à WordPress 7.2 dès sa sortie ?

Aujourd'hui, l'essentiel est d'avoir la dernière version de sa branche, 7.1.4 pour WordPress 7.1. La 7.2 est prévue le 8 décembre 2026 ; ensuite, seule elle sera activement suivie. Sur un site qui dépend de ses extensions, testez-la sur une copie avant de l'installer.

Pouvez-vous vérifier mon site WordPress ?

Oui. L'audit de sécurité dit quelle version tourne, quelles extensions sont en retard ou abandonnées, et si le site montre des signes de piratage. Ensuite, à vous de choisir : une maintenance suivie ou une refonte sur mesure.

À voir aussi

Pour aller plus loin.

Pour aller plus loin, trois pages : l'audit qui dit où en est votre site, la maintenance qui le tient à jour chaque mois, et les autres actus.

Contact

Parlons de votre projet.

Quelques lignes suffisent pour commencer : votre activité, ce qui coince aujourd'hui, ce que vous aimeriez obtenir. Je vous réponds personnellement, et le devis est gratuit.

Devis
Gratuit, après un premier échange en visio, au téléphone ou sur place
E-mail
WhatsApp
Écrire sur WhatsApp
Basé à
Aoste (38490), Isère
Interventions
Isère, Savoie, Lyon et Suisse, sur place ou à distance
SIRET
750 107 542 00078

Vos coordonnées servent uniquement à vous répondre.