Veille WordPress : ce qu’il fallait suivre du 1er au 12 septembre 2026

Une vulnérabilité référencée CVE-2026-32475 touche toutes les versions d’Elementor Pro jusqu’à la 4.2.1 incluse. Elle permet à un visiteur, sans être connecté, d’envoyer un fichier PHP par un formulaire qui devrait le refuser. Un fichier PHP déposé sur votre serveur, c’est un programme que votre serveur va exécuter : c’est ce qui rend cette faille aussi sérieuse (score de gravité CVSS de 9 sur 10, le classement le plus élevé).

La condition pour être concerné est précise : il faut une page Elementor publiée avec un widget Formulaire comportant un champ d’envoi de fichier. C’est une configuration courante (devis avec pièce jointe, candidature avec CV, réclamation avec photo), donc à vérifier plutôt qu’à écarter par principe.

Elementor a corrigé la faille dans la version 4.2.2, sortie le 19 août. Le correctif existait donc déjà avant le début de notre fenêtre de veille, mais l’information a pris un tour plus urgent début septembre : un code de démonstration permettant d’exploiter la faille a été publié publiquement sur GitHub, ce qui abaisse nettement la barrière technique pour un attaquant (détails techniques complets sur The Hacker News).

Ce qu’il faut faire concrètement :

1. 1. Vérifiez la version d’Elementor Pro installée sur vos sites (menu Extensions de WordPress). Toute version 4.2.1 ou antérieure doit être mise à jour vers la 4.2.2 ou une version plus récente sans attendre.

1. 1. Si vous avez un formulaire avec upload de fichier sur une page Elementor, contrôlez le dossier wp-content/uploads/elementor/forms/ : la présence d’un fichier .php ou d’une extension inhabituelle est un signe à prendre au sérieux.

1. 1. En cas de doute sur un fichier suspect trouvé, ne le supprimez pas immédiatement : une intervention d’analyse permet de vérifier l’ampleur réelle avant d’effacer une preuve utile.

Pour les sites sous contrat de maintenance TYTAE, les mises à jour d’extensions comme Elementor Pro passent par notre processus de mise à jour sécurisée : chaque mise à jour est testée avant validation, avec retour en arrière automatique si elle casse quelque chose sur le site. Si vous gérez votre site vous-même ou avec un autre prestataire, la vérification manuelle ci-dessus reste la bonne marche à suivre.

WordPress 7.1.1 est une version de maintenance, uniquement corrective : elle ne rajoute aucune fonctionnalité et se concentre sur des bugs identifiés depuis la sortie de WordPress 7.1. Sa sortie générale est programmée le 17 septembre 2026, après une version candidate publiée le 10 septembre (calendrier officiel sur Make WordPress Core).

Aucune action de votre part n’est nécessaire dans l’immédiat : cette mise à jour est de celles qui s’appliquent sans risque particulier une fois publiée. Nous la déploierons sur les sites sous contrat de maintenance selon notre fenêtre habituelle, après vérification.

Edit 21 septembre 2026 : WordPress 7.7.1 publié.

Bricks Builder a connu deux sorties sur la période, toutes deux sans lien avec la sécurité.

La version 2.3.13 (9 septembre) restaure la prise en charge du HTML dans les libellés de formulaire, dans certaines options et dans le texte du bouton de recherche, et corrige un souci de sélection des variations sur la galerie produit WooCommerce ainsi qu’un problème d’affichage sur mobile.

La version 2.4, encore en version candidate (2.4 RC2, 10 septembre), prépare des raccourcis clavier pour la médiathèque, un choix de résolution au téléchargement d’images Unsplash, et un nouveau déclencheur d’interaction lié au panier (changelog complet sur bricksbuilder.io). Tant qu’elle reste en version candidate, nous ne la déployons pas sur les sites en production : c’est la règle que nous appliquons systématiquement pour toute version bêta ou RC, quel que soit l’éditeur.

Les versions 23.8 et 23.9 de Gutenberg, l’éditeur de blocs natif de WordPress, ont apporté la possibilité de personnaliser les raccourcis clavier de certains blocs et fait avancer un chantier de fond de l’éditeur de site (détail sur developer.wordpress.org, vingtaine de correctifs). Ce sont des évolutions internes qui s’adressent aux développeurs de thèmes et d’extensions : elles ne changent rien à l’usage quotidien de votre site ni à son apparence.

Un autre événement a marqué la période : une mise à jour ratée du plugin Advanced Access Manager a rendu inaccessibles tous les sites qui l’utilisaient, y compris certains sites que nous gérons directement. Le sujet est suffisamment important pour un article dédié plutôt qu’un simple paragraphe ici : retrouvez le détail de l’incident, ce qu’il s’est passé sur les sites concernés et comment nous sommes intervenus dans notre article flash.