Veille WordPress : ce qu’il fallait suivre du 21 au 27 septembre 2026

Une seule vérification compte vraiment cette semaine : votre site doit tourner en WordPress 7.1.2 (ou dans la version corrigée de sa branche). La faille corrigée le 22 septembre est déjà attaquée, et plus de 350 000 sites n’étaient toujours pas à jour trois jours plus tard. Si vous utilisez Elementor et que vous êtes passé en version 4.3, une deuxième mise à jour s’impose : la 4.3.2. Le reste de l’actualité, un procès relancé autour d’Automattic, ne demande rien de votre part.

Vous avez manqué l’édition précédente ? Elle couvrait WordPress 7.1.1 et la crise de gouvernance chez Automattic.

WordPress 7.1.2 : pourquoi cette mise à jour ne peut pas attendre ?

WordPress a publié la version 7.1.2 le 22 septembre. Elle ne corrige qu’une faille, mais elle est sérieuse : notée 9,2 sur 10 sur l’échelle de gravité de référence du secteur, elle permet à un attaquant, sans compte ni mot de passe, de faire lire au site un fichier qu’il n’aurait jamais dû ouvrir. Selon la configuration du serveur, ça peut aller jusqu’à faire exécuter du code malveillant, autrement dit prendre la main sur le site.

Toutes les versions de WordPress depuis la 4.7, sortie fin 2016, sont concernées. Le projet a donc corrigé l’ensemble des versions encore suivies, pas seulement la dernière, et demande lui-même une mise à jour immédiate (annonce officielle sur wordpress.org).

Bonne nouvelle : si les mises à jour automatiques de sécurité sont actives sur votre site (c’est le réglage par défaut de WordPress pour ce type de version), la correction a pu s’installer toute seule. Mieux vaut quand même le vérifier que le supposer.

Comment une faille peut-elle être attaquée quelques heures après sa correction ?

C’est le point le plus instructif de la semaine. Les premières tentatives d’attaque ont été repérées le 22 septembre à 11 h 49 (heure universelle), le jour même de la publication du correctif. Le lendemain, leur volume avait été multiplié par plus de dix, et les attaquants ne se contentaient plus de tester : ils déposaient des fichiers malveillants sur les serveurs touchés (analyse de Patchstack).

Comment ont-ils fait si vite ? En lisant le correctif. WordPress est un logiciel ouvert : quand une faille est corrigée, n’importe qui peut comparer l’ancien code et le nouveau pour voir exactement ce qui a changé, donc où se trouvait le trou. Patchstack le constate noir sur blanc : les attaques reprennent précisément ce que le correctif bloque. En clair, la publication d’un correctif sert aussi de mode d’emploi aux pirates.

Le 25 septembre, plus de 350 000 sites exposés tournaient encore sur une version vulnérable, d’après les relevés de l’organisme de surveillance Shadowserver (repris par Tech Times).

La leçon dépasse cette faille : entre la correction et les premières attaques, la marge se compte désormais en heures. Une mise à jour faite « à la fin du mois » arrive trop tard.

Que faire concrètement sur votre site cette semaine ?

Tout dépend de qui s’occupe de votre site.

Vous êtes sous contrat de maintenance chez nous ? Vous n’avez rien à faire : votre site est protégé.

Vous gérez votre site vous-même ? Ouvrez le tableau de bord WordPress, menu Mises à jour, et vérifiez que vous êtes bien en 7.1.2. Si ce n’est pas le cas, faites une sauvegarde puis lancez la mise à jour sans attendre. Comme des sites ont été attaqués avant d’être mis à jour, demandez aussi à votre hébergeur s’il a détecté des fichiers anormaux sur votre espace.

Vous passez par un autre prestataire ? Posez-lui une question simple : quand la 7.1.2 a-t-elle été installée ? Si la réponse se compte en jours plutôt qu’en heures, c’est un bon indicateur de la réactivité à attendre la prochaine fois.

Elementor 4.3 : faut-il passer en 4.3.2 tout de suite ?

Oui, si vous êtes en 4.3.0 ou 4.3.1. Elementor est l’un des constructeurs de pages les plus utilisés sur WordPress, et sa version 4.3, tout juste sortie en version finale, contenait une faille notée 8,8 sur 10. Le scénario : un administrateur du site, connecté, clique sur un lien piégé, et ce simple clic permet à l’attaquant de créer son propre compte administrateur ou de modifier des réglages du site (fiche de la faille sur WPScan).

La faille demande donc de piéger une personne, ce qui la rend moins directe que celle de WordPress. Elle est corrigée dans la version 4.3.2 : vérifiez la version installée dans le menu Extensions.

Si vous êtes resté sur une version antérieure à la 4.3, cette faille ne vous concerne pas. C’est d’ailleurs un argument pour ne pas installer une nouvelle version majeure le jour de sa sortie, sauf si elle corrige une faille de sécurité : laisser passer quelques jours permet d’éviter ce genre de correctif en urgence.

Le procès WP Engine contre Automattic : quelle conséquence pour votre site ?

Aucune à court terme. Le 25 septembre, une juge fédérale américaine a rétabli quatre accusations de pratiques anticoncurrentielles portées par l’hébergeur WP Engine contre Automattic, l’entreprise de Matt Mullenweg qui pilote une bonne partie des services autour de WordPress. Elle les avait écartées dans un premier temps, avant qu’une décision d’appel rendue dans une autre affaire change la donne (détail sur The Repository).

Le procès lui-même n’est pas prévu avant le 19 octobre 2027. Nous continuons à le suivre, parce qu’il porte sur les conditions dans lesquelles les hébergeurs accèdent aux services liés à WordPress. Pour l’instant, votre site fonctionne exactement comme avant.

Ce qu’il faut retenir cette semaine

Deux vérifications à faire si vous gérez votre site vous-même : WordPress en 7.1.2, et Elementor en 4.3.2 si vous l’utilisez en version 4.3. La semaine rappelle surtout qu’une mise à jour de sécurité se joue maintenant en heures, pas en semaines.

Vous n’êtes pas sûr que votre site soit à jour ? Demandez un audit gratuit et nous vérifierons pour vous.