Une faille de sécurité dans WordPress a déclenché près de 63 000 tentatives d’attaque en seulement 24 heures. Corrigée le 28 octobre 2026, cette vulnérabilité permettait aux pirates d’exécuter du code sur un serveur pendant une mise à jour.
Mettre à jour son site Internet devrait renforcer sa sécurité. Pourtant, une vulnérabilité de WordPress pouvait transformer cette opération en aubaine pour les pirates. Le problème concerne plusieurs versions du célèbre système de gestion de contenu. Malgré la publication d’un correctif, les tentatives d’exploitation se sont rapidement multipliées. Une situation qui mérite l’attention des entreprises, des éditeurs et des propriétaires de sites.
Une faille WordPress déclenche près de 63 000 attaques en 24 heures
Les chiffres publiés par Wordfence, spécialiste de la sécurité WordPress, illustrent la rapidité de la menace. Selon The Hacker News, les systèmes de Wordfence ont bloqué 62 969 tentatives d’attaque en 24 heures, visant une vulnérabilité du cœur de WordPress.
Cette activité survient après la publication de WordPress 7.1.4, le 28 octobre 2026. La mise à jour corrige 22 vulnérabilités, dont une faille particulièrement préoccupante. Celle-ci permet potentiellement l’exécution de code à distance, sans authentification préalable.
Les premières réactions malveillantes ont été observées très rapidement. Wordfence a détecté une requête suspecte seulement neuf minutes après l’activation de sa protection. Cette dernière avait été déployée environ trois heures après la publication du correctif.
Le phénomène ne s’est pas arrêté à quelques tentatives isolées. Deux sources particulièrement actives ont ciblé de petits groupes de sites pendant environ 14 heures et demie. D’autres ont multiplié les essais sur différents noms de dossiers et de versions.
Toutefois, il convient de noter que ces chiffres correspondent à des tentatives détectées ou bloquées, pas à des intrusions confirmées. Ils ne permettent donc pas d’affirmer que près de 63 000 sites ont été compromis.
Le piège se referme pendant la mise à jour de WordPress
La particularité de cette vulnérabilité réside dans son fonctionnement. Les pirates ne cherchent pas nécessairement à exploiter un site pendant son utilisation normale. Ils ciblent un instant précis, lorsque WordPress installe une nouvelle version.
Lors de certaines mises à jour complètes, le logiciel décompresse ses fichiers dans un répertoire temporaire. Celui-ci se trouve sous wp-content/upgrade. Dans les versions concernées, son emplacement pouvait être suffisamment prévisible pour être anticipé.
Or, ces fichiers contiennent également un programme d’installation. Si le serveur autorise leur consultation et l’exécution de PHP, un visiteur extérieur peut potentiellement interagir avec cette copie temporaire.
C’est précisément ce qui rend cette faille d’exécution de code à distance, ou RCE, dangereuse. Un attaquant pourrait parvenir à lancer des instructions sur le serveur sans disposer d’un compte WordPress. L’exploitation reste néanmoins soumise à plusieurs conditions. Il faut notamment que les fichiers soient accessibles et que le pirate intervienne avant leur suppression automatique.
En pratique, cette fenêtre ne dure parfois que quelques secondes. Les attaquants compensent cette difficulté par une méthode insistante : envoyer de manière continue des requêtes pour tenter de tomber au bon moment. Les spécialistes parlent ici de condition de concurrence, ou race condition.
Le résultat dépend du moment exact où une action intervient par rapport à une autre. Cette vulnérabilité, signalée par le chercheur Umut Bayram, concerne les versions de WordPress 4.7 à 7.1.3. Elle présente un score de gravité CVSS de 8,1 sur 10.
WordPress 7.1.4 corrige la faille et 21 autres vulnérabilités
Face à cette menace, les développeurs ont modifié la gestion des fichiers temporaires. Avec WordPress 7.1.4, les répertoires utilisés pendant les mises à jour ne portent plus un nom prévisible. Des protections supplémentaires encadrent également l’accès aux fichiers d’installation.
Cette modification complique l’exploitation de la vulnérabilité. Les pirates ne peuvent plus compter sur le même chemin facilement identifiable pour atteindre les fichiers sensibles. Le correctif ne concerne d’ailleurs pas uniquement cette faille. Il traite aussi 21 autres problèmes de sécurité, notamment des possibilités d’injections de code dans les pages, de divulgation d’informations et de contournement de certaines autorisations.
L’enjeu dépasse donc la seule attaque observée par Wordfence. Plusieurs mécanismes de sécurité ont nécessité des corrections dans une même version. Des correctifs existent également pour les anciennes branches de WordPress, jusqu’à la version 4.7. Toutefois, seule la branche la plus récente bénéficie d’un support actif. Maintenir une installation ancienne peut donc compliquer sa protection à long terme.
Alors, comment savoir si votre site WordPress reste exposé ?
La première vérification concerne la version de WordPress installée. Depuis l’interface d’administration, rendez-vous dans « Tableau de bord », puis « Mises à jour ». Vous pourrez contrôler si le correctif approprié est disponible.
Cependant, installer la mise à jour ne constitue pas l’unique précaution. Wordfence recommande également d’examiner les journaux du serveur à la recherche de requêtes suspectes vers les fichiers PHP situés sous wp-content/upgrade.
Une attention particulière doit aussi être accordée aux comptes administrateurs inconnus. La présence de plugins inhabituels ou de fichiers PHP suspects peut également justifier des vérifications supplémentaires.
Pour renforcer la protection, un pare-feu correctement configuré peut filtrer certaines requêtes malveillantes. Wordfence propose notamment un mode Extended Protection, capable de contrôler les accès directs aux fichiers PHP.
Il est également possible de demander à son hébergeur de bloquer l’accès public au répertoire temporaire utilisé pour les mises à jour. Cette mesure permet de limiter l’exposition des fichiers concernés.
Ces précautions prennent tout leur sens face à des attaquants qui multiplient les requêtes pour exploiter une ouverture de quelques secondes. Pourtant, le nombre réel de sites compromis reste inconnu. Les données révèlent de nombreuses tentatives d’attaque visant Wordpress, sans confirmer leur réussite. Cette affaire montre surtout que les pirates peuvent exploiter les mises à jour censées renforcer la sécurité des sites.
- Partager l'article :
