CVE-2026-32475 : Elementor Pro RCE sans auth, 196k attaques

Les faits

Une faille critique de téléchargement de fichier arbitraire affectant le module Forms d'Elementor Pro fait l'objet d'une exploitation massive depuis fin août 2026. Identifiée CVE-2026-32475 et notée CVSS 9.0 (CWE-434 — Unrestricted Upload of File with Dangerous Type), la vulnérabilité permet à un attaquant non authentifié de télécharger un fichier PHP exécutable sur n'importe quel site WordPress utilisant une version vulnérable du plugin, aboutissant à une exécution de code arbitraire côté serveur sans aucune condition préalable.

Elementor Pro est l'un des plugins WordPress les plus populaires au monde, avec plusieurs millions d'installations actives. Il propose notamment un widget Forms permettant aux webmasters de créer des formulaires de contact avec téléchargement de fichiers. C'est précisément ce module File Upload, intégré au workflow de traitement des formulaires, qui est à l'origine de la vulnérabilité découverte et corrigée le 19 août 2026 en version 4.2.2 du plugin.

L'origine technique de la faille est remarquablement instructive : elle résulte d'une discordance entre deux boucles de traitement distinctes dans le module File Upload. La première boucle gère la validation des types de fichiers — elle vérifie l'extension du fichier soumis et refuse les extensions blacklistées. La seconde boucle gère le traitement effectif et le stockage du fichier sur le serveur. Un attaquant peut exploiter cette discordance en construisant une requête multipart HTTP malformée : la première partie du payload contient un nom de fichier vide (qui passe la validation sans déclencher de vérification d'extension), tandis que la partie suivante contient un fichier PHP malveillant (qui est ensuite traité et stocké sans re-validation). Ce type d'attaque par discordance de parseurs est bien documenté dans la littérature sécurité mais difficile à détecter lors des audits de code.

BleepingComputer et SC Media ont rapporté début septembre 2026 que les attaquants déploient généralement un webshell PHP minimaliste comme payload initial. Une fois le webshell installé dans le répertoire d'uploads WordPress, les attaquants peuvent exécuter des commandes système avec les privilèges du processus web, lire et modifier tous les fichiers accessibles (y compris wp-config.php contenant les identifiants de base de données), créer des comptes administrateur WordPress cachés, ou utiliser le serveur comme rebond pour d'autres attaques.

Wordfence, dont le pare-feu applicatif protège plusieurs millions de sites WordPress, a publié le 4 septembre 2026 un rapport indiquant avoir bloqué 196 847 tentatives d'exploitation ciblant CVE-2026-32475 entre le 22 août et le 3 septembre 2026 — soit moins de deux semaines après la publication du patch. Ce volume confirme que des groupes malveillants organisés ont rapidement intégré CVE-2026-32475 dans leurs outils d'attaque automatisés, probablement à partir d'analyses du diff de la version 4.2.2 permettant de reconstituer la vulnérabilité.

Parallèlement, une seconde vulnérabilité similaire affecte le plugin Super Forms : CVE-2026-14894 (CVSS 9.8), également un bypass de validation de fichier permettant l'upload non-authentifié de fichiers PHP arbitraires. CISA a intégré CVE-2026-14894 dans son catalogue KEV début septembre 2026, confirmant une exploitation active en conditions réelles.

L'exploitation de plugins WordPress vulnérables reste le vecteur d'attaque le plus productif contre les sites web. Selon les données de WPScan pour 2026, plus de 90 % des vulnérabilités WordPress critiques concernent des plugins ou thèmes tiers. Le délai médian entre la publication d'un correctif de plugin et le début des exploitations automatisées est désormais inférieur à 48 heures — ce qui rend la veille de sécurité et la mise à jour proactive absolument indispensables.

Instawp et Cyber Kendra ont documenté des exemples concrets de payloads utilisés dans les attaques en cours. Dans plusieurs cas analysés par des équipes de réponse à incident, les attaquants ont utilisé l'accès initial obtenu via CVE-2026-32475 pour installer des cryptomineurs, des spambots, ou revendre l'accès aux serveurs compromis sur des forums clandestins spécialisés dans le trafic de shells.

Impact et exposition

Tout site WordPress utilisant Elementor Pro ≤ 4.2.1 et exposant un formulaire avec la fonctionnalité d'upload de fichiers est directement vulnérable. L'exploitation ne requiert aucune authentification. Les sites sur hébergement mutualisé peuvent affecter les sites voisins si l'isolation des VirtualHosts est insuffisante. Les boutiques WooCommerce utilisant Elementor Pro pour leurs formulaires sont particulièrement exposées en raison des données financières et personnelles qu'elles traitent.

Recommandations

• Mettre à jour immédiatement Elementor Pro vers la version 4.2.2 ou supérieure depuis le tableau de bord WordPress ou le portail MyElementor.
• Vérifier les fichiers uploadés récents : auditer wp-content/uploads/ pour tout fichier PHP déposé depuis le 19 août 2026 et le supprimer.
• Auditer les logs serveur : rechercher des requêtes POST multipart/form-data vers les endpoints Elementor Forms avec des noms de fichiers suspects ou vides.
• Vérifier l'intégrité WordPress avec wp core verify-checksums pour détecter toute modification du core par un attaquant.
• Désactiver temporairement le widget Forms avec upload dans Elementor Pro si la mise à jour immédiate est impossible pour une raison technique.