Publié le 13 octobre 2026

Veille WordPress : ce qu’il fallait suivre du 5 au 11 octobre 2026

WordPress 7.1.3 est sortie le 6 octobre et corrige sept failles de sécurité : si les mises à jour automatiques sont désactivées sur votre site, installez-la. Deuxième vérification, si vous utilisez le constructeur de pages Bricks avec l’extension payante Bricksforge : mettez celle-ci à jour sans attendre. Elle a été attaquée dès le soir du 7 octobre.

Vous avez manqué l’édition précédente ? Elle faisait le point sur les extensions à vérifier après le 4 octobre.

WordPress 7.1.3 : que corrige cette mise à jour de sécurité ?

Sept failles de sécurité et quatre bugs. Le projet recommande d’installer cette version immédiatement (annonce officielle sur wordpress.org). Si les mises à jour automatiques en arrière-plan sont actives sur votre site, elle s’installe seule.

Les failles sont de plusieurs types : du code malveillant exécutable depuis la gestion des commentaires et les intégrations Imgur, un « déni de service » (le site peut être surchargé), une injection SQL dans l’export de contenu (une commande glissée dans une requête pour faire parler la base de données), la lecture de commentaires de contenus privés par un visiteur sans compte, et deux faiblesses de contrôle interne, dont un rôle Auteur qui pouvait mettre des articles en avant sans autorisation.

L’annonce ne signale aucune attaque sur ces failles. Les correctifs sont aussi reportés sur les branches plus anciennes, mais ce travail était en cours à la publication. Si votre site tourne sur une version antérieure à la 7.1, vérifiez que la mise à jour de sécurité de votre branche est proposée.

Bricksforge : que faire de cette faille critique sur une extension de Bricks ?

Bricks est un constructeur de pages pour WordPress. Bricksforge est une extension payante qui lui ajoute des fonctions, des formulaires notamment. Elle est vendue par son éditeur et ne figure pas sur le dépôt officiel wordpress.org. Patchstack, spécialiste de la sécurité WordPress, compte environ 6 000 installations actives (article de Dr. Web).

Dans les versions 3.1.8.9 et antérieures, un visiteur sans compte pouvait envoyer un fichier piégé, déguisé en image, et le faire exécuter par le serveur : c’est la porte ouverte à une prise de contrôle du site. La faille porte la référence CVE-2026-85097 (fiche de la faille). Sa gravité est notée entre 9,8 et 10 sur 10 selon les organismes.

Les premières attaques ont été constatées le 7 octobre à 21 h 47 (UTC), soit 23 h 47 à Paris, avant même la publication de l’avis le lendemain (analyse de Patchstack). La version 3.1.8.10, ou une version plus récente, corrige le problème.

Si la mise à jour n’est pas possible tout de suite, désactivez l’extension, ou au moins son module de formulaires. Une fois à jour, deux vérifications rapides : chercher des fichiers PHP inattendus dans le dossier d’envoi de fichiers de votre site, en particulier dans /wp-content/uploads/bricksforge/tmp/ et sous le nom login_admin_ suivi de caractères, et contrôler qu’aucun compte administrateur inconnu n’existe.

Que faire concrètement sur votre site cette semaine ?

Tout dépend de qui s’occupe de votre site.

Vous êtes sous contrat de maintenance chez nous ? Vous n’avez rien à faire : votre site est protégé.

Vous gérez votre site vous-même ? Faites une sauvegarde, puis ouvrez le menu Mises à jour de votre tableau de bord WordPress et installez la 7.1.3. Si votre site utilise Bricks, regardez dans le menu Extensions si Bricksforge est présent. Sa mise à jour dépend d’une licence annuelle et ne passe pas par le dépôt officiel : vérifiez sa version vous-même.

Vous passez par un autre prestataire ? Posez-lui deux questions : mon site est-il en WordPress 7.1.3, et utilise-t-il Bricksforge ? Une réponse claire en quelques heures dit beaucoup du suivi réellement assuré.

WooCommerce 11.2 : faut-il mettre à jour votre boutique ?

À planifier, sans urgence. WooCommerce 11.2.0 est sortie le 7 octobre et l’éditeur recommande de mettre à jour toutes les boutiques (annonce sur le blog développeurs de WooCommerce). Cette version reste compatible avec l’existant et comprend une mise à jour de la base de données : faites donc une sauvegarde avant.

Elle apporte surtout des durcissements de sécurité : plus de destinataires en copie sur les e-mails sensibles (réinitialisation de mot de passe, nouveau compte), identifiants de commande mal formés refusés pour les téléchargements (de rares liens personnalisés ou importés peuvent cesser de fonctionner), droits des gestionnaires de boutique restreints, import de « Blueprints » réservé aux super-administrateurs sur un réseau de sites.

Un point d’attention avant de passer en 11.2 : PublishPress Future, extension qui programme des actions sur vos contenus, provoque une erreur fatale avec cette version dans ses versions 3.0.0 à 4.10.3. Si elle est installée, mettez-la en 4.10.4 ou plus récent d’abord.

Ce qu’il faut retenir cette semaine

Deux vérifications comptent : WordPress en 7.1.3, et Bricksforge mis à jour si vous l’utilisez. WooCommerce 11.2 peut attendre votre prochain cycle de mises à jour, à condition de contrôler PublishPress Future avant. Cette semaine montre aussi qu’une extension achetée en dehors du dépôt officiel mérite un suivi à part : ses mises à jour dépendent d’une licence.

Vous ne savez pas quelles extensions tournent sur votre site, ni dans quelle version ? Demandez un audit gratuit et nous ferons le point pour vous.