WordPress 7.1.4 corrige une brèche de son processus de mise à jour et des failles XSS

WordPress a publié le 28 octobre 2026 une mise à jour de sécurité, la version 7.1.4, et demande de l’installer sans attendre. Elle corrige notamment une faille du processus de mise à jour lui-même. Cette faiblesse peut mener à l’exécution de code à distance : un attaquant pourrait alors faire tourner son propre code sur le serveur du site. Les sites réglés pour se mettre à jour automatiquement recevront le correctif seuls. Les autres attendent un geste de leur administrateur.

Le nombre de failles corrigées varie selon la source. GBHackers et HostingSeekers recensent 22 vulnérabilités. SecurityOnline en compte 17 problèmes de sécurité. HostingSeekers avance une explication : Patchstack, une société spécialisée dans la sécurité de WordPress, regroupe ces failles en 17 avis, si bien que certaines listes paraissent plus courtes que le total. Quel que soit le décompte, la consigne reste la même.

Comme il s’agit d’une version de sécurité, il est recommandé de mettre vos sites à jour immédiatement.

Une faille de sécurité dans la mise à jour

La correction la plus grave touche le processus de mise à jour du cœur de WordPress, c’est-à-dire du logiciel lui-même, hors extensions. L’annonce officielle situe le risque pendant la fenêtre de mise à jour et attribue la découverte au chercheur Umut Bayram. La faille relève d’une situation de concurrence (race condition en anglais). Deux opérations s’enchaînent presque en même temps, et l’ordre dans lequel elles s’achèvent ouvre une brèche.

HostingSeekers détaille le mécanisme. Pendant une mise à jour, WordPress décompresse ses fichiers dans le dossier wp-content/upgrade/. Des noms de dossiers prévisibles et un nettoyage qui supprimait le fichier index.php pouvaient laisser un installateur de WordPress accessible depuis le web. La version 7.1.4 ajoute désormais 16 caractères aléatoires aux noms des dossiers temporaires. Sur la gravité réelle, les avis divergent. HostingSeekers affirme que la faille est atteignable sans connexion. GBHackers souligne que la documentation ne précise pas les conditions d’exploitation. Patchstack juge l’attaque difficile, car elle dépend d’une fenêtre de quelques secondes.

Failles XSS et certificats

Le reste du correctif vise surtout des failles XSS stockées (pour cross-site scripting). Un contenu piégé est enregistré sur le site, puis s’exécute dans le navigateur de la personne qui l’affiche. La plupart de ces failles exigent au moins un compte de niveau contributeur, le rôle qui permet d’écrire des articles sans pouvoir les publier. À notre avis, les sites qui n’ouvrent aucun compte à des tiers sont donc moins exposés, sans être dispensés de la mise à jour.

La version 7.1.4 met aussi à jour les certificats racine intégrés à WordPress, à la suite de la révocation d’eMudhra. Nous avions consacré un article à cette autorité de certification le 22 octobre 2026. Les certificats racine permettent à un logiciel de vérifier qu’il s’adresse bien au bon serveur. Les tenir à jour évite de continuer à se fier à une autorité révoquée.

Les anciennes branches aussi corrigées

Les correctifs ne se limitent pas à la dernière version. Le projet les reporte vers toutes les branches encore éligibles aux mises à jour de sécurité, actuellement jusqu’à la 4.7, au fur et à mesure qu’ils sont prêts. Seule la version la plus récente reste toutefois activement maintenue. D’après GBHackers, les branches anciennes reçoivent des correctifs différents selon leur exposition. Les versions 7.0.8 et 6.9.11 corrigent les 22 failles, les versions 6.8.12 et 6.7.11 en corrigent 20.

Cette version succède à la 7.1.3, qui comportait 7 correctifs de sécurité et 4 corrections de bogues. HostingSeekers compte la 7.1.4 comme la septième version de sécurité du cœur de WordPress depuis juillet 2026. GBHackers recommande de ne pas attendre WordPress 7.2, prévue pour le 8 décembre 2026. À notre avis, ce rythme plaide pour ne plus repousser les correctifs et pour activer les mises à jour automatiques, quitte à contrôler le site ensuite.

Pour un site de TPE, d’association ou de commune, le premier geste est simple. Vérifiez que votre site affiche bien la version 7.1.4, ou qu’il a reçu le correctif de sécurité de sa branche. Sinon, ouvrez le tableau de bord, faites une sauvegarde, lancez la mise à jour, puis contrôlez le bon fonctionnement du site et de ses extensions. Supprimer les comptes contributeurs inutiles limite aussi les risques. Côté serveur, Patchstack conseille de bloquer l’accès web au dossier wp-content/upgrade/. Dans la mesure de nos disponibilités, nous pouvons aider ponctuellement, de façon bénévole et gratuite, à faire ce point ou à envisager l’avenir d’un site qui n’est plus entretenu.