Réponse courte : la faille WordPress CVE-2026-119977 (CVSS 8.1) permet à un attaquant non authentifié d’exécuter du code pendant la mise à jour du cœur de WordPress. Elle est exploitée depuis fin octobre 2026 et la CISA l’a ajoutée à son catalogue des failles exploitées le 3 novembre. Il faut passer en 7.1.4 (ou la version corrigée de votre branche) et vérifier que le site n’a pas été compromis.
La faille WordPress CVE-2026-119977 a une particularité rare : elle ne touche pas une extension, mais le cœur de WordPress lui-même, et elle s’ouvre précisément au moment où vous faites ce qu’il faut faire, c’est-à-dire mettre à jour. Pour une PME ou un indépendant dont le site vitrine tourne sous WordPress, c’est un sujet à traiter cette semaine.
Qu’est-ce que la faille CVE-2026-119977 dans WordPress ?
C’est une faille de type « situation de compétition » (TOCTOU) dans le processus de mise à jour du cœur de WordPress. Pendant une mise à jour complète, WordPress dépose temporairement les fichiers de la nouvelle version dans un dossier du site accessible depuis Internet, à un emplacement prévisible.
Pendant ces quelques secondes, un attaquant qui interroge ce dossier en boucle peut détourner l’installation et prendre la main sur le site, sans aucun identifiant. Les sources concordent sur les points suivants :
- Score de gravité : CVSS 8.1 (élevé), avec une complexité d’attaque jugée haute car il faut « gagner la course ».
- Versions touchées : WordPress 4.7 à 7.1.3, cœur uniquement (les extensions et thèmes ne sont pas en cause).
- Correctif : WordPress 7.1.4, publié le 28 octobre 2026, avec des rétroportages sur les branches maintenues jusqu’à la 4.7 (par exemple 7.0.8 pour la branche 7.0).
- Découverte : signalée par un chercheur de Picus Security, crédité dans l’annonce officielle de WordPress.
La faille est-elle vraiment exploitée ?
Oui. La CISA, l’agence américaine de cybersécurité, l’a inscrite le 3 novembre 2026 à son catalogue KEV des vulnérabilités activement exploitées, avec une échéance de correction fixée au 6 novembre pour les administrations fédérales.
Les premières tentatives ont été observées sur des pots de miel dès le 30 octobre. Selon les données de Wordfence reprises par Qualys et SOC Prime, plus de 18 500 requêtes visant les chemins temporaires d’installation ont été relevées en 21 heures. Ces chiffres mesurent des tentatives, pas des piratages réussis, mais ils montrent que des robots scannent le web en continu à la recherche de sites en cours de mise à jour.
Pourquoi mettre à jour ne suffit-il pas toujours ?
Parce que la fenêtre d’attaque s’ouvre pendant la mise à jour elle-même, y compris la mise à jour qui installe le correctif. Picus Security, qui a découvert la faille, souligne que le premier passage d’une version vulnérable vers la 7.1.4 utilise encore l’ancien mécanisme de mise à jour.
Le risque est faible pour un site isolé, car il faut tomber pile dans la bonne fenêtre. Mais il n’est pas nul, et il augmente avec les mises à jour automatiques déclenchées à heure fixe, que des robots peuvent anticiper. D’où l’intérêt de sécuriser le dossier temporaire avant de lancer la mise à jour.
Comment protéger son site WordPress, étape par étape ?
La bonne méthode tient en six étapes, à faire dans l’ordre :
- Vérifiez votre version dans Tableau de bord, puis Mises à jour. Toute version entre 4.7 et 7.1.3 est concernée.
- Faites une sauvegarde complète (fichiers et base de données), stockée hors du serveur.
- Bloquez l’accès web au dossier wp-content/upgrade/ via la configuration du serveur (règle Apache ou Nginx) ou votre pare-feu applicatif. Votre hébergeur peut le faire si vous n’avez pas la main.
- Lancez la mise à jour vers la 7.1.4 ou la version corrigée de votre branche, idéalement en heure creuse, puis vérifiez le numéro de version affiché.
- Contrôlez les signes de compromission : nouveau compte administrateur inconnu, extension que vous n’avez pas installée, fichiers PHP récents dans les dossiers WordPress, modification du fichier wp-config.php.
- En cas de doute, changez les mots de passe administrateurs et les clés de sécurité, puis faites analyser le site.
Pour les sites encore sur une version antérieure à la 4.7, aucun correctif n’est prévu : une migration vers une version maintenue s’impose.
| Votre branche WordPress | Version corrigée | Action |
|---|---|---|
| 7.1.x | 7.1.4 | Mettre à jour après blocage du dossier upgrade |
| 7.0.x | 7.0.8 | Mettre à jour, puis planifier le passage en 7.1 |
| 4.7 à 6.9 | Version de sécurité de la branche | Mettre à jour et planifier une montée de version majeure |
| Avant 4.7 | Aucun correctif | Migration urgente |
Comment savoir si mon site a déjà été piraté ?
Les rapports publics ne donnent pas d’indicateurs fiables (adresses IP ou fichiers types) : il faut donc rechercher des comportements anormaux. Les journaux du serveur sont le meilleur point de départ.
- Requêtes vers wp-content/upgrade/ ou vers un fichier setup-config.php depuis l’extérieur.
- Comptes administrateurs créés récemment que personne ne reconnaît.
- Extensions inconnues, fichiers PHP déposés dans wp-content.
- Redirections étranges, pages de spam ou alertes de Google Search Console.
Si l’un de ces signes apparaît, ne vous contentez pas de supprimer le fichier suspect : un attaquant laisse souvent plusieurs portes dérobées. Notre article sur les failles PHP2Shell qui visent les sites WordPress détaille la même logique de nettoyage.
L’avis de l’expert
Dans les grands comptes, on ne lance jamais une mise à jour sans fenêtre de maintenance, sauvegarde vérifiée et retour arrière possible. Cette faille rappelle pourquoi. Le réflexe « je clique sur Mettre à jour » reste bon, mais il ne suffit plus quand l’opération elle-même devient le point d’entrée.
Pour une PME, la règle pratique est simple : un site WordPress est un serveur exposé, pas une plaquette en ligne. Il mérite le même traitement que les postes de travail, avec un inventaire des versions, des correctifs appliqués sous quelques jours et un contrôle après chaque mise à jour. C’est exactement l’objet d’une démarche de gestion des correctifs.
Et pour les PME et les indépendants du 92 ?
Dans les Hauts-de-Seine, beaucoup d’artisans, de cabinets et de commerces ont un site WordPress créé il y a quelques années par un prestataire qui n’en assure plus le suivi. Ce sont les sites les plus exposés : version ancienne, mises à jour automatiques actives mais jamais contrôlées, aucune sauvegarde testée.
SOSPC82 peut vérifier votre version, sécuriser le dossier de mise à jour, appliquer le correctif et contrôler l’absence de compromission, à distance ou sur place depuis La Garenne-Colombes. Le suivi régulier peut ensuite être intégré à une maintenance informatique d’entreprise, et en cas de piratage avéré, notre service de réponse à incident cyber prend le relais.
Questions fréquentes
Mon site est hébergé chez un grand hébergeur, suis-je protégé ?
Pas forcément. Certains hébergeurs ont ajouté des règles de pare-feu, mais la mise à jour du cœur reste de votre responsabilité. Vérifiez votre version et demandez à votre hébergeur s’il bloque l’accès au dossier wp-content/upgrade.
Faut-il désactiver les mises à jour automatiques ?
Non, les mises à jour automatiques restent la meilleure protection contre les failles futures. Il vaut mieux bloquer l’accès web au dossier temporaire de mise à jour, puis laisser les mises à jour se faire normalement.
Les extensions WordPress sont-elles concernées ?
Non, la faille CVE-2026-119977 touche uniquement le cœur de WordPress. Les extensions doivent toutefois rester à jour, car elles restent une porte d’entrée fréquente sur les sites WordPress.
Mon site est en version 7.1.4, dois-je encore faire quelque chose ?
Le correctif est en place, mais vérifiez qu’aucun compte administrateur ou fichier inconnu n’est apparu, surtout si la mise à jour s’est faite après le 30 octobre. Assurez-vous aussi d’avoir une sauvegarde récente hors du serveur.
Que faire si mon site affiche des pages de spam ?
Considérez le site comme compromis : mettez-le en maintenance, sauvegardez l’état actuel pour l’analyse, puis faites-le nettoyer par un professionnel. Restaurer une sauvegarde saine antérieure à l’attaque est souvent la voie la plus sûre.
En résumé
- CVE-2026-119977 est une faille du cœur WordPress (versions 4.7 à 7.1.3), exploitée et inscrite au catalogue KEV de la CISA le 3 novembre 2026.
- Elle s’exploite pendant la mise à jour : bloquez l’accès à wp-content/upgrade avant de passer en 7.1.4 ou en version corrigée de votre branche.
- Après la mise à jour, contrôlez comptes administrateurs, extensions et fichiers PHP récents.
Votre site WordPress n’est pas suivi ou vous avez un doute sur sa version ? Confiez-le à notre service de gestion des correctifs ou appelez le 07 69 36 92 60. Devis gratuit sous 24 h.
Pour ne plus gérer seul les mises à jour de votre site et de vos postes, découvrez notre infogérance PME et TPE.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82
Sources :
- WordPress.org : WordPress 7.1.4 (28 octobre 2026)
- Qualys ThreatPROTECT : CISA Warns of WordPress Vulnerability Exploited in the Wild (4 novembre 2026)
- Picus Security : When Updating WordPress Becomes the Vulnerability
- SOC Prime : CVE-2026-119977, exécution de code à distance dans WordPress Core exploitée
- runZero : WordPress CVE-2026-119977, find impacted instances
- nFlo : CVE-2026-119977, RCE During WordPress Core Upgrades