Faille WordPress CVE-2026-119977 : exploitée pendant les mises à jour, passer en 7.1.4

La réponse courte : WordPress a publié le 28 octobre 2026 la version de sécurité 7.1.4, qui corrige treize problèmes, dont une faiblesse du processus de mise à jour pouvant mener à l’exécution de code à distance pendant la fenêtre de mise à jour. Le 3 novembre, la CISA a ajouté cette faille à son catalogue des vulnérabilités exploitées sous l’identifiant CVE-2026-119977, avec une exploitation active confirmée. Le maCERT de la DGSSI a publié le 29 octobre le bulletin 70202910/26, avec un risque et un impact critiques. Il faut passer en 7.1.4 (ou la version corrigée de votre branche), vérifier que la mise à jour est bien appliquée, puis contrôler le serveur.

Au Maroc, une grande partie des sites vitrines, des sites de recrutement et des boutiques en ligne des PME tourne sous WordPress. Ces sites sont souvent gérés par une agence, un prestataire parti depuis ou un collaborateur, et personne ne vérifie qu’ils se mettent à jour. Voici ce que disent WordPress, la CISA et le maCERT, et ce qu’il faut faire.

Ce qui est corrigé

L’annonce de WordPress 7.1.4 décrit la première correction comme « une faiblesse du processus de mise à jour de WordPress qui peut mener à une exécution de code à distance pendant la fenêtre de mise à jour ». L’annonce ne cite pas d’identifiant CVE, mais le catalogue KEV de la CISA renvoie vers cette annonce pour CVE-2026-119977.

Le catalogue KEV décrit la faille ainsi :

• type : situation de compétition de type « time-of-check time-of-use » (TOCTOU), classée CWE-367 ;
• conséquence : un attaquant non authentifié peut exécuter du code sur le serveur pendant la fenêtre de mise à jour ;
• cause : des chemins de préparation (« staging ») prévisibles et accessibles depuis le web, utilisés lors des mises à jour complètes du cœur.

Autrement dit, pendant les quelques instants où WordPress installe une nouvelle version, des fichiers temporaires restent atteignables depuis Internet, et un attaquant peut en profiter. Le paradoxe est réel : c’est au moment même de la mise à jour du cœur que le site s’expose, tant qu’il fonctionne avec une version non corrigée.

Les douze autres corrections de 7.1.4 concernent notamment des failles de type XSS stocké dans plusieurs blocs, l’API Interactivity, le rafraîchissement sélectif du Customizer et les identifiants des utilisateurs, une divulgation de modifications non publiées, un problème d’accès aux Notes et une mise à jour des certificats racines.

La CISA ne publie pas de score CVSS dans son alerte, et la fiche NVD n’était pas consultable au moment de la rédaction : nous ne reprenons donc aucun score.

Produit	Versions touchées (selon le maCERT)	Version corrigée
WordPress 7.1	antérieures à 7.1.4	7.1.4 (28 octobre 2026)
WordPress 7.0	antérieures à 7.0.8	7.0.8
WordPress 6.9	antérieures à 6.9.11	6.9.11
Branches plus anciennes	jusqu’à 4.7, antérieures à 4.7.39	version corrigée de la branche

WordPress indique que les correctifs sont rétroportés sur toutes les branches éligibles, jusqu’à 4.7, et que ces versions sortent au fur et à mesure. Vérifiez la disponibilité de la version de votre branche sur la page officielle des versions de WordPress. La recommandation la plus sûre reste de passer sur la branche 7.1 à jour.

Exploitation active : ce que dit la CISA

La CISA a ajouté CVE-2026-119977 à son catalogue KEV le 3 novembre 2026, « sur la base de preuves d’exploitation active ». Elle fixe aux agences fédérales américaines une échéance de correction au 6 novembre 2026 et leur demande un examen forensique des systèmes concernés. Le catalogue indique que l’usage par des groupes de rançongiciels est inconnu à ce jour.

Ce délai de trois jours et cette exigence d’analyse sont rares : ils signifient qu’une mise à jour ne suffit pas à elle seule si le site a pu être visé avant d’être corrigé.

Le bulletin du maCERT

Le bulletin 70202910/26 du maCERT, daté du 29 octobre 2026, s’intitule « Vulnérabilités critiques dans le CMS WordPress ». Il indique que plusieurs vulnérabilités critiques ont été corrigées dans le noyau de WordPress et renvoie au bulletin de sécurité de WordPress du 28 octobre. Le maCERT a publié séparément, le 2 novembre, le bulletin 70360211/26 sur des vulnérabilités touchant plusieurs extensions et thèmes WordPress : il faut traiter les deux.

Les mesures d’attente

Si la mise à jour ne peut pas être faite tout de suite (site personnalisé, prestataire injoignable) :

1. Ne lancez pas de mise à jour du cœur dans l’urgence sur une version non corrigée : faites-la directement vers la version corrigée, à un moment où vous surveillez le site.
2. Activez un pare-feu applicatif (WAF) devant le site, chez l’hébergeur ou via un service comme Cloudflare, et surveillez les règles publiées pour cette faille.
3. Faites une sauvegarde complète (fichiers et base de données) stockée hors du serveur, avant toute intervention.
4. Limitez l’accès à l’administration (/wp-admin) par adresse IP ou par authentification supplémentaire.

Les vérifications à faire

• Contrôler la version dans Tableau de bord > Mises à jour, ou avec wp core version si vous utilisez WP-CLI.
• Vérifier que les mises à jour automatiques ne sont pas désactivées par l’hébergeur, une extension ou une constante de configuration (AUTOMATIC_UPDATER_DISABLED, WP_AUTO_UPDATE_CORE).
• Recenser tous vos sites WordPress, y compris les anciens sites de campagne, les sites de test et les sous-domaines oubliés : ce sont souvent eux qui ne sont plus mis à jour.
• Rechercher des fichiers PHP récents ou inconnus dans le répertoire du site, en particulier dans wp-content et wp-content/upgrade.
• Lister les comptes administrateurs et supprimer tout compte inconnu.
• Lire les journaux d’accès du serveur autour des dates de mise à jour, à la recherche de requêtes vers des répertoires temporaires.
• Mettre à jour les extensions et thèmes visés par le bulletin 70360211/26 du maCERT.

Notre lecture pour les entreprises au Maroc

Cette faille rappelle qu’un site vitrine fait partie du système d’information : il porte le nom de l’entreprise, collecte des données de contact et peut servir de relais à une attaque ou à de l’hameçonnage. Il lui faut un responsable, un inventaire des sites, des mises à jour suivies et des sauvegardes testées, comme pour un serveur interne.

Pour aller plus loin, consultez notre guide permanent pour sécuriser un site WordPress d’entreprise, notre article sur le pare-feu applicatif web (WAF), notre guide de Cloudflare en entreprise, notre méthode de gestion des correctifs et notre article sur la sauvegarde 3-2-1 immuable. Si vous suspectez une compromission, suivez notre plan de réponse à incident pour la première heure. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent de traiter les bulletins du maCERT.

Comment nous pouvons vous aider

Nous inventorions vos sites WordPress, appliquons la version corrigée, vérifions l’absence de fichiers ou de comptes suspects, mettons en place une sauvegarde hors serveur et un pare-feu applicatif, puis suivons les versions dans notre supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : WordPress, annonce de WordPress 7.1.4 du 28 octobre 2026, WordPress, liste des versions publiées, CISA, alerte du 3 novembre 2026, catalogue CISA KEV, maCERT : bulletin 70202910/26 (cœur de WordPress), maCERT : bulletin 70360211/26 (extensions et thèmes), MITRE, CWE-367, NVD CVE-2026-119977.