La CISA ajoute une faille WordPress exploitée à son catalogue KEV

Ce qui est nouveau

La Cybersecurity and Infrastructure Security Agency (CISA) a inscrit CVE-2026-119977 à son catalogue Known Exploited Vulnerabilities (KEV), sur la base de preuves d’exploitation active. L’ajout date du 3 novembre 2026 et concerne le cœur de WordPress, non une extension.

Le catalogue fixe une échéance au 6 novembre 2026 et signale qu’un examen visant à rechercher une éventuelle compromission est requis. Les obligations de la directive citée par la CISA concernent les agences civiles de l’exécutif fédéral américain, et non l’ensemble des utilisateurs de WordPress.

Ce qui change et pourquoi

Un correctif existait avant cette inscription : selon la documentation de WordPress, la version 7.1.4 est sortie le 28 octobre 2026. L’ajout au catalogue apporte donc une information distincte de la publication du correctif : la CISA atteste que la vulnérabilité est effectivement exploitée.

Wordfence décrit une faille de concurrence entre vérification et utilisation, dite Time-of-check Time-of-use (TOCTOU). Lors d’une mise à niveau complète du cœur, WordPress utilise des chemins temporaires prévisibles et accessibles depuis le Web. Un attaquant sans compte peut exploiter cette fenêtre pour exécuter du code sur le serveur.

Wordfence recense des versions vulnérables dans les branches allant de 4.7 à 7.1.3. WordPress 7.1.4 corrige le problème ; des correctifs existent également pour les branches antérieures concernées.

Pourquoi c’est important

Le risque tient à la combinaison d’une attaque sans authentification et d’une exécution de code côté serveur. Il dépend toutefois d’une condition précise : la fenêtre de mise à niveau, et non le seul fonctionnement courant du site.

La CISA ne détaille pas les campagnes observées dans son alerte. Son catalogue indique que l’utilisation de cette faille dans des campagnes de rançongiciel reste inconnue : l’exploitation active est établie, mais son ampleur et les acteurs impliqués ne sont pas précisés.