Que sait-on de la vulnérabilité ?
La faille concerne le processus de mise à niveau de WordPress, notamment une condition de concurrence pendant l’installation. Le risque ne correspond pas à une prise de contrôle automatique de chaque site : il dépend du contexte d’exploitation. Son inscription dans le catalogue CISA KEV signifie qu’une exploitation est constatée, mais ne prouve pas que votre installation a été compromise.
Quelle version installer ?
WordPress 7.1.4, publié le 28 octobre 2026, inclut le correctif et d’autres améliorations de sécurité. Des correctifs sont également rétroportés vers des branches plus anciennes éligibles, mais leur disponibilité doit être vérifiée branche par branche. Ne supposez pas que toutes les anciennes versions ont déjà reçu le correctif.
Les vérifications à effectuer
- Sauvegardez les fichiers et la base de données, puis vérifiez qu’une restauration est possible.
- Dans Tableau de bord → Mises à jour, contrôlez la version du cœur WordPress et appliquez la version de sécurité disponible pour votre branche.
- Mettez aussi à jour les extensions et thèmes, après vérification des compatibilités.
- Vérifiez le succès de la mise à jour, le fonctionnement du site, les comptes administrateurs et les journaux.
- Si le site était exposé avant correction, recherchez des changements inattendus ; en cas de doute, menez une investigation plutôt que de conclure qu’une simple mise à jour suffit.
Comment prioriser à l’avenir ?
Le catalogue CISA KEV aide à distinguer une vulnérabilité théorique d’une vulnérabilité dont l’exploitation est connue. Pour un inventaire logiciel, relier versions installées, avis de sécurité, correctifs et statut KEV permet de traiter les risques les plus concrets en premier. La veille logicielle TechAtelier peut vous aider à organiser le suivi des versions : elle ne remplace pas les vérifications de sécurité d’un site WordPress.
Sources officielles
- WordPress — annonce de la version 7.1.4
- WordPress — documentation 7.1.4
- Centre canadien pour la cybersécurité — bulletin du 3 novembre
- CISA — catalogue KEV