Le CERT-FR a signalé une vulnérabilité de WordPress pouvant permettre l’exécution de code à distance. Une branche désigne ici une série de versions du logiciel. Son avis du 23 septembre 2026 vise les versions antérieures à 7.1.2, tandis que WordPress indique avoir rétroporté le correctif sur les anciennes branches encore éligibles aux mises à jour de sécurité. Les administrateurs doivent donc vérifier le correctif correspondant à leur branche, plutôt que de se fier au seul numéro 7.1.2.
Une faille avec des conditions d’exploitation
Le CERT-FR décrit un risque d’exécution de code arbitraire à distance, référencé CVE-2026-87902. L’avis résume les versions concernées et renvoie aux informations de correction de l’éditeur. La publication WordPress du 22 septembre précise que l’exploitation dépend de conditions réunies dans l’environnement serveur et le thème actif.
Vérifier le correctif de la branche installée
WordPress 7.1.2 contient le correctif. L’éditeur indique aussi que la correction a été rétroportée vers les branches éligibles à recevoir des mises à jour de sécurité. Une installation ancienne n’est donc pas nécessairement encore vulnérable si le correctif de sa branche a été appliqué. Ces rétroportages ne remplacent pas le suivi actif : WordPress précise que seule sa version la plus récente bénéficie de ce support. Consultez le bulletin WordPress pour identifier la version corrigée qui correspond à votre installation.
- relever la version de chaque site, y compris les environnements de test et de formation ;
- consulter le bulletin de sécurité WordPress et vérifier si le correctif de la branche installée est déjà présent ;
- avant toute intervention, vérifier qu’une sauvegarde récente est disponible ;
- appliquer la mise à jour appropriée, puis contrôler que le site fonctionne normalement.
Pour une organisation qui gère plusieurs sites, un inventaire des installations permet de repérer celles qui doivent encore être mises à jour. Si la maintenance est confiée à un prestataire, demandez-lui de confirmer la branche suivie et le correctif installé.
Ce que l’avis permet d’établir
L’avis confirme une vulnérabilité et son risque, mais ne mesure pas le nombre de sites exposés. Après avoir appliqué le correctif adapté, les équipes peuvent suivre leurs procédures habituelles si elles disposent d’indices de compromission ; l’avis seul n’en constitue pas un.
Sources de référence
À retenir
Le CERT-FR signale une vulnérabilité WordPress pouvant permettre une exécution de code à distance. WordPress précise que le correctif de sécurité a aussi été rétroporté vers les anciennes branches éligibles. Les administrateurs doivent consulter le bulletin de l’éditeur pour choisir la mise à jour adaptée à leur branche.
