CVE-2026-119977 : RCE WordPress exploitée pendant les mises à jour, CISA exige le patch

Les faits

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-119977 à son catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities, KEV) le 3 novembre 2026, avec une date limite de remédiation fixée au 6 novembre pour les agences fédérales américaines. La faille affecte WordPress Core dans toutes ses versions de 4.7 à 7.1.3 incluse.

La vulnérabilité est de type TOCTOU (Time-of-Check to Time-of-Use), une race condition dans le processus de mise à jour complète du cœur de WordPress. Durant la fenêtre temporelle d'une mise à jour automatique — quelques secondes pendant lesquelles des fichiers intermédiaires sont déposés dans des répertoires temporaires accessibles via le web — un attaquant non authentifié peut y placer un fichier malveillant et le faire exécuter par le serveur. La CVSS est évaluée à 8.1 (High), bien que WordPress ait initialement classé la faille en sévérité basse lors de la divulgation.

Le correctif a été intégré dans WordPress 7.1.4, publiée le 28 octobre 2026, et rétro-porté sur toutes les branches encore maintenues. La discordance entre l'évaluation interne de WordPress et celle de la CISA illustre un phénomène récurrent : les éditeurs minimisent souvent la sévérité des vulnérabilités dans leurs propres produits, tandis que les agences gouvernementales, avec accès aux rapports de renseignement sur les exploitations actives, corrigent le tir.

Un proof-of-concept fonctionnel a été publié publiquement sur GitHub le 4 novembre 2026, soit un jour après l'ajout au KEV. Cette publication accélère mécaniquement l'exploitation massive : les groupes de menaces opportunistes intègrent les PoC publics dans leurs frameworks d'attaque en quelques heures. D'après plusieurs chercheurs en sécurité ayant analysé le PoC, l'exploit est fiable et ne requiert aucune authentification préalable ni condition particulière côté serveur, si ce n'est que la mise à jour automatique soit en cours.

La particularité de cette faille est son vecteur d'attaque inhabituel : elle n'exploite pas une fonctionnalité permanente de WordPress, mais une fenêtre d'opportunité éphémère créant un angle mort dans les défenses. Les pare-feu applicatifs (WAF) et les systèmes de détection d'intrusion classiques ne sont pas calibrés pour détecter des requêtes vers des chemins temporaires de mise à jour, qui par nature n'existent que quelques secondes. C'est précisément ce qui rend l'exploitation discrète.

L'impact potentiel est considérable. WordPress motorise selon les estimations 43 à 45 % des sites web mondiaux en 2026. Sur cette base, des dizaines de millions d'installations sont exposées si elles n'ont pas été mises à jour vers 7.1.4. Les mises à jour automatiques activées par défaut depuis WordPress 3.7 représentent un filet de sécurité pour la majorité des petits sites, mais les installations managées, les environnements enterprise ou les sites ayant désactivé les mises à jour automatiques pour des raisons de compatibilité avec des thèmes ou plugins tiers restent vulnérables.

Côté exploitation observée, les chercheurs de ThreatDefence et SmartScope rapportent des campagnes de scan massif à la recherche d'instances WordPress en cours de mise à jour, combinées à des tentatives d'injection de webshells PHP dans les répertoires temporaires. Les premières exploitations documentées ont été détectées dès fin octobre 2026, avant même l'ajout au KEV, ce qui suggère que des acteurs avancés avaient connaissance de la faille avant sa divulgation publique.

Pour les administrateurs système, le défi est d'identifier rapidement toutes les instances WordPress de leur parc, en particulier dans les grandes organisations où des dizaines ou centaines de sites peuvent coexister sous différents sous-domaines ou répertoires. Les outils de gestion centralisée comme ManageWP, MainWP ou WP-CLI permettent d'auditer et de patcher en masse. La commande wp core version via WP-CLI reste le moyen le plus rapide de vérifier la version installée sur chaque instance.

Impact et exposition

Toute installation WordPress fonctionnant en version 4.7 à 7.1.3 et ayant les mises à jour automatiques activées est exposée pendant les quelques secondes que dure la mise à jour. Les sites ayant désactivé les mises à jour automatiques et n'ayant pas patchè manuellement vers 7.1.4 restent en permanence sur une version vulnérable. Les hébergeurs mutualisés gérant des milliers de sites sont particulièrement concernés : un seul serveur compromis peut entraîner la compromission de centaines de sites clients. Les sites e-commerce sous WooCommerce et les sites collectant des données personnelles présentent un risque réglementaire additionnel (RGPD, PCI-DSS).

Recommandations

• Mettre à jour immédiatement vers WordPress 7.1.4 ou la dernière version de sa branche maintenue — priorité absolue
• Inventorier toutes les instances WordPress du parc via WP-CLI ou un outil de gestion centralisée
• Vérifier les logs serveur pour des requêtes suspectes vers des chemins /wp-admin/upgrade.php ou des répertoires temporaires de mise à jour
• Configurer une alerte WAF spécifique sur les répertoires de staging WordPress (/wp-content/upgrade/)
• Isoler les instances WordPress des systèmes critiques en réseau si la mise à jour immédiate n'est pas possible