## En bref

- CVE-2026-100109 : faille Missing Authorization (CWE-862, CVSS 9.8) dans Security For WooCommerce, versions 1.0.10 à 1.0.16

- Un attaquant non authentifié peut créer un compte administrateur WordPress via l'endpoint AJAX usfw_create_temporary_user — PoC public disponible sur Sploitus

- Action urgente : désactiver immédiatement le plugin, auditer les comptes administrateurs récemment créés, rechercher toute persistance installée

## Les faits

Le 5 novembre 2026, la vulnérabilité **CVE-2026-100109** a été publiée dans le NVD/NIST, révélant une faille critique de type Missing [Authorization](/glossaire/authorization-autorisation) dans le plugin WordPress **Security For WooCommerce** (slug : ultimate-security-for-woocommerce). Avec un score **CVSS 3.0 de 9.8** selon le vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, cette vulnérabilité permet à tout attaquant non authentifié de créer un compte administrateur WordPress sur tout site utilisant une version affectée. La CNA (CVE Numbering Authority) est [WPScan](/glossaire/wpscan), qui maintient la référence de vulnérabilités WordPress la plus complète du secteur.

La faille est classifiée sous **CWE-862 — Missing Authorization**, une absence totale de vérification d'autorisation avant l'exécution d'une action sensible. La root cause réside dans la fonction usfw_create_temporary_user, enregistrée comme handler AJAX WordPress et accessible sans restriction via le endpoint /wp-admin/admin-ajax.php. Cette fonction est destinée à créer des comptes utilisateurs temporaires — vraisemblablement pour des fonctionnalités de support ou de test du plugin — mais elle est enregistrée comme hook wp_ajax_nopriv_, ce qui la rend accessible aux visiteurs non authentifiés. En l'absence de vérification de nonce WordPress et de capability check, n'importe quel appelant externe peut invoquer cette fonction et se faire attribuer le rôle d'administrateur.

Les versions affectées s'étendent de la **1.0.10 à la 1.0.16 incluse**, selon les enregistrements WPScan et NVD. Aucune version corrigée n'était référencée au moment de la rédaction : WPScan indique explicitement "No known fix" pour ce CVE. Cette situation est particulièrement préoccupante car le plugin est encore installé sur des sites WooCommerce en production.

Un élément aggravant majeur distingue CVE-2026-100109 d'autres failles similaires : un **proof-of-concept (PoC) public est disponible** sur la plateforme Sploitus, agrégateur de code d'exploitation publics. Selon les informations disponibles, le PoC consiste à envoyer une requête HTTP POST vers /wp-admin/admin-ajax.php avec le paramètre action=usfw_create_temporary_user accompagné de paramètres utilisateur spécifiant le rôle administrator. La disponibilité d'un PoC réduit drastiquement le niveau de compétence technique requis pour exploiter la faille, ouvrant la porte à des campagnes d'exploitation automatisées par des acteurs de menace moins sophistiqués, y compris des script kiddies et des botnets ciblant les plugins WordPress vulnérables.

La chronologie de la vulnérabilité montre que la CVE a été réservée le **25 septembre 2026**, indiquant que la découverte remonte à plusieurs semaines avant la publication officielle du 5 novembre. Cette fenêtre entre réservation et publication correspond à la période de [responsible disclosure](/glossaire/responsible-disclosure) durant laquelle le chercheur ou l'organisation ayant découvert la faille aurait normalement contacté l'éditeur pour lui permettre de produire un correctif. L'absence de patch au moment de la publication officielle suggère que soit l'éditeur n'a pas répondu dans les délais, soit le développement d'un correctif est en cours.

Du point de vue de l'architecture WordPress, CVE-2026-100109 illustre un pattern d'erreur fréquent dans le développement de plugins : l'utilisation de wp_ajax_nopriv_{action} pour des hooks qui effectuent des opérations d'administration. La distinction entre wp_ajax_{action} (accessible uniquement aux utilisateurs connectés) et wp_ajax_nopriv_{action} (accessible à tous, y compris les visiteurs anonymes) est fondamentale dans la sécurité WordPress. Les développeurs qui ne maîtrisent pas cette distinction créent des surfaces d'attaque critiques. Dans ce cas, l'ajout d'une vérification de nonce (généré côté serveur et lié à une session authentifiée) et d'un capability check (current_user_can('create_users')) aurait suffi à prévenir la vulnérabilité.

L'ironie de la situation mérite d'être soulignée : un plugin dont l'objet même est d'améliorer la **sécurité de WooCommerce** introduit une vulnérabilité critique permettant une prise de contrôle totale du site. Ce type de paradoxe — un outil de sécurité qui affaiblit la posture de sécurité — est documenté dans la littérature de sécurité et rappelle l'importance de soumettre tout plugin de sécurité à un audit indépendant avant déploiement en production, indépendamment de son positionnement marketing et de ses fonctionnalités annoncées.

Au moment de la rédaction, CVE-2026-100109 ne figure pas dans le catalogue KEV de la CISA, mais la présence d'un PoC public et la gravité du vecteur d'exploitation (CVSS 9.8, non authentifié, réseau) font de cette faille une cible prioritaire pour les acteurs malveillants. Les campagnes d'exploitation de plugins WordPress vulnérables via des scanners automatisés — notamment WPScan, [Nuclei](/glossaire/nuclei) templates et des botnets dédiés — peuvent identifier et attaquer des milliers de sites en quelques heures suivant la publication d'un PoC. La fenêtre d'exposition est donc critique pour tout site non encore mitigé. L'historique des campagnes d'exploitation WordPress de 2025-2026 montre que des failles similaires ont été utilisées pour déployer des malwares de vol de données de paiement, des backdoors persistants et des redirections vers des sites de [phishing](/glossaire/phishing).

## Impact et exposition

L'exploitation réussie donne à l'attaquant des droits d'administrateur complets sur WordPress et WooCommerce. Les conséquences directes incluent : installation de plugins malveillants ou de backdoors persistants dans le système de fichiers, exfiltration complète de la base de données (clients, commandes, informations de paiement tokenisées, emails), modification des paramètres WooCommerce pour rediriger les paiements vers des comptes frauduleux, et injection de code malveillant dans les templates du site pour déployer des skimmers bancaires en JavaScript. La persistance est triviale à établir pour un attaquant avec des droits admin.

La présence d'un PoC public amplifie significativement le risque. Les campagnes d'exploitation automatisée de plugins WordPress vulnérables suivent un cycle court : publication de la CVE puis PoC public puis intégration dans des scanners automatisés puis exploitation à grande échelle en 24 à 72 heures. Ce délai s'est observé sur des vulnérabilités similaires comme CVE-2026-86596 (s2Member, CVSS 9.8). Pour CVE-2026-100109, ce cycle est potentiellement déjà enclenché au moment de la lecture de cet article.

Les sites e-commerce sont particulièrement vulnérables car ils concentrent des données à forte valeur marchande pour les cybercriminels : numéros de commandes, données clients (soumises au RGPD), potentiellement des tokens de paiement. Une compromission peut également servir de point d'entrée vers l'infrastructure d'hébergement plus large si le site WordPress partage un environnement avec d'autres applications ou services. Les obligations de notification RGPD en cas de violation de données personnelles s'appliquent dès 72 heures après la détection de l'incident.

## Recommandations immédiates

- Désactiver et désinstaller immédiatement le plugin Security For WooCommerce (ultimate-security-for-woocommerce) — WPScan Advisory CVE-2026-100109, aucun correctif disponible

- Auditer wp_users pour identifier tout compte administrateur créé récemment et non légitime : vérifier via wp-cli ou phpMyAdmin les comptes avec rôle administrator créés dans les 30 derniers jours

- Supprimer tout compte administrateur suspect et changer les mots de passe de tous les comptes légitimes

- Scanner les fichiers du site (wp-content/plugins, wp-content/themes) pour détecter des backdoors ou fichiers récemment modifiés

- Bloquer les requêtes POST vers wp-admin/admin-ajax.php avec action=usfw_create_temporary_user via les règles WAF ou ModSecurity

- Vérifier les logs d'accès pour des requêtes POST suspectes vers admin-ajax.php depuis des IPs inconnues

#### ⚠️ Urgence

CVSS 9.8 — PoC public disponible sur Sploitus. Exploitation automatisée probable dans les 24 à 72 heures suivant la publication. Aucun correctif officiel. Désactivation immédiate obligatoire. Auditez vos comptes administrateurs sans délai.

### Comment savoir si je suis vulnérable ?

Vérifiez la présence du plugin via wp-cli : wp plugin list --fields=name,version,status | grep ultimate-security. Si la version est comprise entre 1.0.10 et 1.0.16, le site est vulnérable. Pour détecter une exploitation passée : wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --orderby=registered --order=DESC. Analysez les logs Apache/Nginx avec : grep "usfw_create_temporary_user" /var/log/apache2/access.log.

### Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.
[Demander un audit](#)