WordPress 7.1.4 : la faille se déclenchait pendant la mise à jour elle-même

Le 28 octobre 2026, WordPress a publié la version 7.1.4, une mise à jour de sécurité qui corrige vingt-deux vulnérabilités. La plus sérieuse porte la référence CVE-2026-119977 et concerne toutes les versions du cœur comprises entre la 4.7 et la 7.1.3. Sa particularité mérite l’attention de tout responsable de site, y compris ceux qui pensent être à jour : la faille ne s’exploitait pas dans une page du site, mais pendant le déroulement de la mise à jour elle-même.

Ce que révèle l’avis de sécurité

Lorsqu’une mise à jour complète du cœur est lancée, WordPress décompresse temporairement la nouvelle version dans un dossier de travail situé sous wp-content/upgrade. Ce dossier contient, pendant quelques secondes, l’ensemble des fichiers de l’installation, y compris le programme d’installation. Sur certaines configurations de serveur, ce dossier de travail pouvait être atteint depuis le web. Un visiteur non authentifié qui parvenait à le joindre pendant cette fenêtre très courte pouvait faire progresser l’installation temporaire jusqu’à l’exécution de code PHP sur le serveur.

La vulnérabilité est classée 8,1 sur l’échelle CVSS, en sévérité haute. Elle appartient à la famille des conditions de concurrence : ce n’est pas une erreur d’utilisation, c’est un décalage de quelques instants entre le moment où les fichiers sont écrits et celui où ils sont protégés. Le correctif apporté par la 7.1.4 repose sur trois mesures : le nom du dossier de travail est désormais aléatoire, un garde-fou empêche l’affichage du contenu du dossier, et les données de configuration intermédiaires ne peuvent plus être promues vers une installation active. L’éditeur précise que les correctifs équivalents ont été rétroportés jusqu’à la branche 4.7, ce qui signifie que même un site ancien dispose d’une version corrigée à installer.

Les robots ont balayé en quelques minutes

Le chiffre le plus parlant vient de l’éditeur de pare-feu Wordfence. Sa règle de protection a détecté sa première tentative neuf minutes après sa publication. Au cours des vingt et une heures suivantes, plus de 18 500 requêtes ont visé des chemins de fichiers d’installation temporaires. Ces requêtes ne prouvent pas que des milliers de sites ont été compromis, car la fenêtre d’exposition ne dure que quelques secondes et il faut la toucher au bon moment. Elles prouvent autre chose, plus important pour un commerçant : les robots ne lisent pas la presse spécialisée, ils balaient en permanence et essaient tout. Un site n’est donc pas attaqué parce qu’il est intéressant, il est attaqué parce qu’il est joignable.

« Mais les mises à jour sont automatiques chez moi »

C’est la phrase la plus fréquente en rendez-vous, et c’est aussi la plus risquée. WordPress propose bien des mises à jour automatiques de sécurité, mais elles ne concernent que les branches maintenues et elles peuvent être désactivées par l’hébergeur, par une extension de gestion, ou par une constante ajoutée dans le fichier de configuration. Surtout, une mise à jour automatique peut échouer silencieusement : droits d’écriture insuffisants, disque plein, extension qui bloque le processus, site en maintenance laissé en place. Le tableau de bord affichera alors une notification que personne ne lit.

La seule méthode fiable consiste à vérifier la version réellement installée, pas la version annoncée. Sur un site que nous auditons, ce contrôle prend une minute et révèle régulièrement des écarts de plusieurs années entre ce que le dirigeant croit et ce que le serveur exécute.

Les six réflexes qui protègent réellement un site de commerce

1. Vérifier la version du cœur, du thème et des extensions, puis la comparer à la dernière version disponible. La fourchette concernée par cette faille va de la 4.7 à la 7.1.3.
2. Mettre à jour dans un ordre logique : sauvegarde d’abord, cœur ensuite, extensions une par une, puis contrôle visuel du site.
3. Supprimer les extensions et les thèmes inutilisés. Un module désactivé mais présent reste du code sur le serveur, et il ne reçoit pas toujours de correctifs.
4. Conserver une sauvegarde récente et testée. C’est la seule assurance de revenir en arrière si une mise à jour casse une page, un formulaire ou un module de paiement.
5. Restreindre les accès sensibles : double authentification sur l’administration, suppression des comptes des anciens prestataires, limitation des tentatives de connexion.
6. Surveiller, plutôt qu’espérer. Un site sans surveillance active n’apprend son problème que le jour où un client signale une page blanche, ou le jour où Google affiche un avertissement dans les résultats de recherche.

Ce que nous faisons chez Ms France Concept

De notre côté, les sites que nous hébergeons et que nous suivons sont mis à jour chaque mois, sauvegardés avant chaque intervention et contrôlés après. Quand un site a été installé puis laissé en l’état pendant des années, nous commençons par un état des lieux : version réelle du cœur et des extensions, comptes d’administration existants, sauvegardes disponibles, présence de modules abandonnés. Nous corrigeons ensuite ce qui doit l’être et nous mettons en place un suivi, pour que la question ne se repose plus chaque fois qu’une faille sort.

Sur Sète, le Bassin de Thau et partout en France, beaucoup de sites de commerces, de restaurants, d’artisans et de professions libérales ont été créés il y a longtemps et vivent leur vie sans personne aux commandes. Une faille comme celle-ci ne prévient pas : elle se contente d’attendre le prochain passage d’un robot.

L’audit de votre communication, qui couvre votre site, sa sécurité, votre référencement local et vos fiches Google, est gratuit et sans engagement. Il se déroule à distance pour toute la France, ou sur rendez-vous à notre agence de Sète, Espace Don Quichotte, 547 Quai des Moulins. Chez Ms France Concept, on étudie sur mesure !

Sources : annonce officielle WordPress 7.1.4, analyse Wordfence, fiche CVE-2026-119977. Prise de rendez-vous : https://calendly.com/contact-msfranceconcept ou 04 65 84 00 27. — John — Le Service Communication — Ms France Concept — Sète