Publié le 20 octobre 2026

Veille WordPress du 12 au 18 octobre 2026 | TYTAE

Si votre site utilise Backuply, l’extension de sauvegarde de Softaculous, passez-la en version 1.5.9. Une faille permet de piéger une sauvegarde pour prendre le contrôle du site au moment où elle est restaurée. Le correctif est disponible depuis le 1er octobre et aucune attaque n’avait été signalée lors de la publication de l’avis, le 15 octobre. Si vous utilisez Bricksforge, la mise à jour ne suffit plus : vérifiez aussi que personne n’est entré avant.

Vous avez manqué l’édition précédente ? Elle détaillait WordPress 7.1.3 et la faille Bricksforge.

Backuply : pourquoi une sauvegarde peut-elle ouvrir une faille ?

Une sauvegarde sert à revenir en arrière quand quelque chose tourne mal. C’est précisément ce moment que vise cette faille.

Backuply est une extension de sauvegarde, de restauration et de migration installée sur environ 600 000 sites. Dans ses versions 1.5.8 et antérieures, une personne qui dispose d’un simple compte sur votre site (le niveau le plus bas, « abonné ») peut glisser un contenu piégé dans sa fiche de profil. Ce contenu est copié tel quel dans la sauvegarde suivante. Le jour où un administrateur restaure cette sauvegarde, le piège se déclenche et modifie les réglages du site pour permettre la création d’un compte administrateur (article d’IT-Connect).

Les spécialistes parlent d’injection SQL de second ordre : la commande malveillante est déposée d’abord et ne s’exécute que plus tard, lors d’une autre opération. La faille porte la référence CVE-2026-93953 (fiche de la faille) et sa gravité est notée 8 sur 10.

Deux conditions doivent être réunies. Votre site accepte la création de comptes utilisateurs (espace membre, forum, boutique avec comptes clients), et une sauvegarde faite après le dépôt du piège est restaurée. Sur un site vitrine sans inscription possible, un simple visiteur ne peut donc pas exploiter cette faille. La version 1.5.9 corrige le problème : installez-la avant toute restauration.

Bricksforge : la mise à jour suffit-elle ?

Non, pas toujours. Bricksforge, extension payante du constructeur de pages Bricks, a été corrigée en version 3.1.8.10 après une faille critique dont nous parlions la semaine dernière. Les attaques continuent pourtant, et elles sont automatisées. Patchstack a relevé 63 adresses IP impliquées, dont six concentrent près de la moitié des tentatives, avec des dizaines de variantes testées pour contourner les protections (article de The Hacker News).

Une mise à jour ferme la porte. Elle ne dit pas si quelqu’un est entré avant. Si Bricksforge était installé sur votre site avant le correctif, vérifiez deux choses : la présence de fichiers PHP inattendus dans le dossier /wp-content/uploads/bricksforge/tmp/, et l’absence de compte administrateur que vous ne connaissez pas.

Que faire concrètement sur votre site cette semaine ?

Tout dépend de qui s’occupe de votre site.

Vous êtes sous contrat de maintenance chez nous ? Vous n’avez rien à faire : votre site est protégé.

Vous gérez votre site vous-même ? Ouvrez le menu Extensions de votre tableau de bord WordPress. Si Backuply y figure, mettez-le en 1.5.9 avant de restaurer quoi que ce soit. Si Bricksforge y figure, faites les deux vérifications ci-dessus. Profitez-en pour contrôler que WordPress est au moins en 7.1.3, sortie le 6 octobre avec sept correctifs de sécurité.

Vous passez par un autre prestataire ? Demandez-lui quelle extension sauvegarde votre site, dans quelle version, et si elle a été mise à jour ce mois-ci. S’il hésite, c’est la question de vos sauvegardes dans leur ensemble qu’il faut poser.

WordPress 7.2 : quand passer à la prochaine version majeure ?

Pas le jour de sa sortie. WordPress 7.2, dernière version majeure de l’année, est attendue le 8 décembre 2026. Une première version de test (bêta) est prévue le 20 octobre, puis une version candidate, quasi définitive, le 17 novembre (calendrier relayé par WPMarmite).

Une version majeure change beaucoup de choses d’un coup, et les extensions ont parfois besoin de quelques jours pour suivre. Sur un site qui vous amène des clients, attendez la première version corrective ou, au minimum, quelques jours après le 8 décembre, avec une sauvegarde faite juste avant. Votre site est sous contrat de maintenance ? Ce calendrier est géré pour vous.

Ce qu’il faut retenir cette semaine

Une seule vérification urgente, si elle vous concerne : Backuply en 1.5.9. Pour Bricksforge, la mise à jour ne suffit pas, un contrôle des fichiers et des comptes s’impose. Pour WordPress 7.2, notez le 8 décembre sans vous précipiter. Et gardez en tête la leçon de la semaine : une sauvegarde ne protège que si l’outil qui la produit est lui-même suivi de près.

Vous ne savez pas quel outil sauvegarde votre site, ni dans quelle version ? Demandez un audit gratuit et nous ferons le point pour vous.

Retour à la veille