WordPress : une faille corrigée visée par près de 63 000 tentatives en 24 heures

Ce qui est nouveau

Wordfence a bloqué 62 969 tentatives d’exploitation en 24 heures visant une faille du mécanisme de mise à jour de WordPress, selon les observations rapportées par The Hacker News le 30 octobre 2026. Ce chiffre désigne des tentatives bloquées, pas des sites compromis.

WordPress a publié le 28 octobre la version 7.1.4, qui corrige cette possibilité d’exécution de code à distance. Son avis de sécurité ne lui attribue pas d’identifiant CVE.

Les détails

Le problème concerne les mises à jour du cœur utilisant un paquet complet. WordPress extrait les fichiers dans un répertoire temporaire au chemin prévisible. Lorsque ce répertoire est accessible depuis le Web et permet l’exécution de code, un attaquant sans compte peut atteindre les fichiers d’installation avant leur suppression et parvenir à exécuter du code sur le serveur.

L’exploitation exige donc de réussir pendant une fenêtre très courte. Selon Wordfence, des attaquants interrogent les chemins concernés de façon répétée pour tenter de saisir ce moment.

La qualification de gravité diffère : l’avis WordPress classe la faille comme faible, tandis que The Hacker News la présente comme élevée.

Pourquoi c'est notable

Les tentatives observées ciblent le mécanisme de mise à jour du cœur de WordPress, et non une extension. Le correctif est disponible dans la version 7.1.4 et a également été porté sur les anciennes branches jusqu’à la branche 4.7 ; WordPress rappelle toutefois que seule sa version la plus récente bénéficie d’un support actif.