CVE-2026-87902 : WordPress corrige un RCE exploité en 5h

Ce qui s'est passé

Le 22 septembre 2026, l'équipe de sécurité de WordPress a publié la version 7.1.2, un correctif d'urgence corrigeant CVE-2026-87902, une vulnérabilité critique de traversée de chemin (path traversal) affectant le mécanisme de résolution des templates de pages dans le cœur de WordPress. La faille avait été découverte et signalée de manière responsable par le chercheur en sécurité Robert Ressl via le programme HackerOne de WordPress le 20 juillet 2026, soit deux mois avant la publication du correctif. WordPress attribue à cette vulnérabilité un score CVSS 4.0 de 9.2, la classant comme critique.

Techniquement, la vulnérabilité réside dans le processus de résolution des templates de pages (page-template resolution) de WordPress. Dans les versions affectées, les données contrôlées par un attaquant sont insuffisamment contraintes avant d'être incorporées dans le chemin du template de page. Une requête HTTP spécialement forgée peut introduire des séquences de traversée de répertoire (../), amenant WordPress à résoudre un fichier PHP situé en dehors des répertoires attendus du thème actif ou de son thème parent. La primitive fondamentale est une inclusion de fichier local (LFI), pas une exécution de code arbitraire inconditionnelle.

L'exécution de code distante (RCE) devient possible uniquement lorsque des prérequis environnementaux spécifiques sont réunis sur le serveur cible. Selon l'analyse publiée par SOCRadar et le détail technique de Robert Ressl, deux conditions sont nécessaires : d'abord, l'existence d'un répertoire dont le nom commence par « page- » directement sous le thème actif ou son thème parent ; ensuite, la présence d'un fichier PHP accessible en lecture situé en dehors des répertoires de thème. Si ces conditions sont remplies — ce qui peut être le cas dans certaines configurations d'hébergement mutualisé ou de plugins mal configurés — l'attaquant non authentifié peut faire exécuter du code arbitraire par le serveur.

La chronologie post-publication est particulièrement préoccupante. Selon les données de Help Net Security et de CloudLink Tech, les premières sondes exploratoires visant CVE-2026-87902 ont été détectées à 17h44 UTC le 22 septembre 2026, soit moins de cinq heures après la mise à disposition de WordPress 7.1.2. Les patterns observés — utilisation de séquences de traversée de répertoire dans les paramètres de requête — suggèrent fortement que des attaquants ont rapidement procédé à une rétro-ingénierie du correctif publié pour en déduire la nature et la localisation exacte de la vulnérabilité sous-jacente. Cette technique, connue sous le nom de « patch diffing », est routinièrement utilisée par les acteurs de la menace pour créer des exploits fonctionnels dans les heures suivant une divulgation publique.

L'étendue de l'exposition est massive. WordPress propulse environ 43 % des sites web mondiaux, et les versions 4.7 à 7.1 couvrent plusieurs années de déploiements, incluant un grand nombre d'installations ne disposant pas de mises à jour automatiques activées. Les hébergeurs majeurs et les plateformes WordPress managées ont commencé à déployer le patch de manière automatique dès le 22 septembre, mais une portion significative des installations WordPress auto-hébergées, notamment dans les environnements d'entreprise, reste potentiellement vulnérable tant que les administrateurs n'ont pas appliqué manuellement la mise à jour.

La communauté de sécurité a réagi rapidement. Des signatures de détection pour les tentatives d'exploitation de CVE-2026-87902 ont été publiées dans les heures suivant la divulgation par Wordfence, Sucuri et plusieurs fournisseurs de WAF. Les règles couvrent les patterns de traversée de chemin caractéristiques de la vulnérabilité dans les paramètres de requêtes GET et POST ciblant le mécanisme de sélection de template. Les équipes SOC sont invitées à vérifier leurs journaux d'accès web pour y rechercher des requêtes contenant ces patterns à partir du 22 septembre.

Selon les rapports publiés par byteiota et AiCybr, des cas d'exploitation réussie ont été confirmés dans des environnements de test et des honeypots. Des tentatives d'écriture de fichiers PHP (webshells) ont été observées sur des installations WordPress volontairement laissées non patchées à des fins de surveillance. Les attaquants semblent cibler prioritairement les installations disposant de plugins ou thèmes ayant créé des structures de répertoires commençant par « page- », ce qui correspond à des milliers de configurations courantes dans l'écosystème WordPress.

WordPress a indiqué que la fonctionnalité de mise à jour automatique devrait avoir déployé le correctif sur une grande majorité des installations éligibles dans les 48 heures suivant la publication. Pour les installations ne disposant pas de mise à jour automatique, la montée en version vers WordPress 7.1.2 est impérative. En attendant la mise à jour, les administrateurs peuvent réduire la surface d'attaque en désactivant temporairement les fonctionnalités de sélection de template ou en déployant une règle WAF bloquant les requêtes contenant des séquences de traversée de chemin.

Pourquoi c'est important

CVE-2026-87902 illustre une dynamique bien établie dans le paysage des menaces : l'industrie de l'exploitation de vulnérabilités est désormais suffisamment organisée pour convertir un patch public en exploit fonctionnel en moins de cinq heures. Cette réalité opérationnelle signifie que la fenêtre de patching effectif — le temps entre la publication d'un correctif et la première exploitation réussie en production — est maintenant mesurée en heures, non plus en jours ou en semaines. Pour les équipes de sécurité, cela impose une révision du processus de gestion des vulnérabilités : les CMS et frameworks web populaires nécessitent désormais une politique de patch d'urgence avec des SLA de déploiement inférieurs à 24 heures pour les failles critiques.

La nature conditionnelle du RCE dans CVE-2026-87902 soulève également une question de priorisation souvent mal gérée. Parce que l'exploitation ne mène pas à une RCE inconditionnelle, certains administrateurs pourraient être tentés de déprioritiser le patching. C'est une erreur de jugement dangereuse : le CVSS 9.2 reflète le pire scénario réaliste, et dans les environnements d'hébergement mutualisé — qui représentent une part importante des déploiements WordPress — les conditions de RCE sont souvent réunies sans que l'administrateur du site en soit conscient. La nature hébergée de la majorité des WordPress signifie que l'arborescence de fichiers sous-jacente n'est pas toujours sous le contrôle exclusif de l'opérateur du site.

Sur un plan plus large, CVE-2026-87902 est un rappel de la fragilité de l'écosystème CMS au niveau du cœur applicatif. Les vulnérabilités dans les plugins WordPress font l'objet d'une surveillance permanente et d'une communication proactive de la part de la communauté, mais les failles dans le cœur de WordPress lui-même restent plus rares et donc plus surprenantes. L'étendue de l'impact — toutes les versions de WordPress 4.7 à 7.1 — couvre plus de dix années de déploiements, démontrant qu'une vulnérabilité latente dans le code de résolution de templates pouvait exister sans être détectée pendant une période prolongée malgré les audits réguliers du code open source.

Pour les RSSI et les équipes DevSecOps, cet incident est également un argument en faveur des programmes de gestion continue des vulnérabilités et des outils de scanning automatisé des CMS comme WPScan, intégrés dans les pipelines CI/CD et les processus de surveillance de production. La capacité à détecter automatiquement la présence de versions vulnérables dans un parc d'applications web, et à déclencher des workflows de patching automatiques ou semi-automatiques, devient un prérequis de sécurité non négociable pour toute organisation hébergeant des installations WordPress.

Ce qu'il faut retenir

• Mettre à jour immédiatement vers WordPress 7.1.2 : l'exploitation active a débuté moins de 5 heures après la publication du correctif et cible les installations non mises à jour.
• La RCE est conditionnelle mais le CVSS 9.2 est justifié : de nombreux environnements d'hébergement mutualisé réunissent les conditions d'exploitation sans que les administrateurs en soient conscients.
• Vérifier les journaux d'accès web depuis le 22 septembre pour détecter des requêtes contenant des séquences de traversée de chemin (../) dans les paramètres liés aux templates.