Veille WordPress : ce qu’il fallait suivre du 28 septembre au 4 octobre 2026 

Unlimited Elements for Elementor ajoute des blocs supplémentaires (galeries, menus, formulaires, filtres) au constructeur de pages Elementor. Elle est active sur plus de 300 000 sites (fiche officielle sur wordpress.org). 

Jusqu’à la version 2.0.16, elle contenait une faille de type « injection SQL » : un attaquant, sans compte ni mot de passe, pouvait glisser une commande dans une requête envoyée au site et faire lire à la base de données des informations qu’elle n’aurait jamais dû livrer, comme les comptes utilisateurs ou des données privées (fiche de la faille CVE-2026-18561). Sa gravité est notée entre 7,5 et 9,3 sur 10 selon les organismes. Patchstack, spécialiste de la sécurité WordPress, ne signale pas encore d’attaques, mais s’attend à ce qu’elle soit exploitée à grande échelle (analyse de Patchstack). 

La faille a été révélée le 11 septembre et corrigée en version 2.0.17. Pourquoi en parler maintenant ? Parce qu’elle est passée sous les radars pendant trois semaines, avant de ressortir le 1er octobre dans le bilan mensuel de l’éditeur de sécurité Sucuri (bilan de septembre 2026). Ce même bilan liste d’autres failles corrigées dans les versions suivantes, jusqu’à la 2.0.20. Ne vous arrêtez donc pas à la 2.0.17 : installez la dernière version disponible. 

Oui. Bricks est un autre constructeur de pages pour WordPress. Sa version 2.4.1, publiée le 22 septembre, ressemble à un simple correctif, mais elle renforce surtout la sécurité : le logiciel vérifie désormais mieux qui a le droit de faire quoi, par exemple modifier un modèle de page, toucher à la palette de couleurs ou consulter le contenu d’une fenêtre surgissante (note de version Bricks 2.4.1). Aucune faille référencée n’est citée, il s’agit d’un verrouillage préventif. 

C’est le piège classique des versions mineures : elles passent pour anecdotiques, alors qu’elles apportent parfois l’essentiel. Si votre site utilise Bricks, vérifiez qu’il est au moins en 2.4.1. La 2.4.2, sortie le 28 septembre, n’apporte que des corrections de confort. 

Non. Elementor a publié la version 4.3.3 le 30 septembre. Elle ne corrige aucune faille de sécurité documentée : elle améliore le fonctionnement du module qui permet de piloter Elementor depuis des assistants d’intelligence artificielle (note de version Elementor 4.3.3). 

C’est en revanche la troisième version corrective depuis la sortie de la branche 4.3, dont la 4.3.2 qui comblait une faille de sécurité. Si vous êtes déjà en 4.3, passez en 4.3.3. Si vous êtes resté sur une version antérieure, rien ne presse : une version majeure toute neuve a souvent besoin de quelques semaines pour se stabiliser. 

Tout dépend de qui s’occupe de votre site. 

Vous êtes sous contrat de maintenance chez nous ? Vous n’avez rien à faire : votre site est protégé. 

Vous gérez votre site vous-même ? Ouvrez le menu Extensions de votre tableau de bord WordPress. Si Unlimited Elements for Elementor apparaît dans la liste, faites une sauvegarde puis installez la dernière version. Profitez-en pour contrôler la version de votre constructeur de pages : 2.4.1 minimum pour Bricks, 4.3.3 pour Elementor si vous êtes en 4.3. 

Vous passez par un autre prestataire ? Demandez-lui si votre site utilise Unlimited Elements for Elementor et dans quelle version. 

Pas Automattic. Le 24 septembre, dans le procès qui oppose l’hébergeur WP Engine à Automattic, l’entreprise de Matt Mullenweg, une juge fédérale américaine a rappelé que ni Automattic ni Matt Mullenweg ne sont propriétaires des marques WordPress. Elles appartiennent à la WordPress Foundation, une fondation qui autorise Automattic à les utiliser commercialement (détail sur webhosting.today). 

Dans la même décision, la juge a définitivement écarté l’un des arguments de WP Engine, fondé sur la loi américaine contre le piratage informatique. Prochaine étape : une audience le 7 octobre sur la conservation des preuves. Le procès lui-même est fixé au 19 octobre 2027. 

Pour votre site, aucune conséquence : il fonctionne exactement comme avant. 

Gutenberg est le nom de l’éditeur de pages intégré à WordPress, testé en avant-première sous forme d’extension. Sa version 24.1, sortie le 30 septembre, harmonise les réglages de mise en forme sur la plupart des blocs : fonds, dégradés, ombres, bordures, couleurs des liens et des boutons. Elle ajoute aussi une ombre portée sur les textes (présentation sur make.wordpress.org). 

Rien à faire de votre côté : ces nouveautés arriveront dans une prochaine version de WordPress, pas encore annoncée.