WordPress a publié la version de sécurité 7.1.4 le 28 octobre et recommande de mettre à jour immédiatement. La correction la plus grave concerne une situation de compétition dans le processus de mise à niveau du cœur, pouvant mener à une exécution de code à distance, suivie sous le nom CVE-2026-119977. Selon la description du NVD, dans WordPress 4.7 à 7.1.3, les mises à niveau complètes du cœur utilisent des chemins de préparation prévisibles et accessibles depuis le web, de sorte que des attaquants non authentifiés peuvent exécuter du code sur le serveur pendant la fenêtre de mise à niveau ; score CVSS 3.1 de 8,1 (complexité d'attaque jugée élevée). Le 3 novembre, la CISA l'a ajoutée à son catalogue des vulnérabilités exploitées connues (KEV), n'a laissé que trois jours aux agences fédérales (jusqu'au 6 novembre) et a indiqué qu'elle exige une analyse forensique.

Ce que corrige aussi la 7.1.4

  • Plusieurs failles XSS stockées : balisage de blocs, Interactivity API, rafraîchissement sélectif du Customizer, bloc Catégories, blocs Playlist et image, blocs de pagination des commentaires, ainsi que des identifiants d'utilisateur et des demandes de suppression de données personnelles spécialement conçus. La plupart exigent au minimum des droits de contributeur ou d'éditeur.
  • Des modifications non publiées du Customizer pouvaient être découvertes par des visiteurs non authentifiés, et des rôles personnalisés chargés de modérer les commentaires pouvaient lire et modifier des notes sur des articles qu'ils ne peuvent pas modifier.
  • En raison de l'incident des certificats eMudhra, le paquet de certificats racines fourni avec WordPress (utilisé pour ses propres requêtes HTTPS) a été mis à jour.

Comment vérifier que vous êtes en sécurité

  • Vérifiez la version : Tableau de bord → Mises à jour, ou wp core version avec WP-CLI. La dernière est la 7.1.4 ; pour les sites restés sur des branches plus anciennes, l'API de versions de WordPress liste des rétroportages dont 7.0.8, 6.9.11 et 6.8.12, et ainsi de suite jusqu'à 4.7.39. Les anciennes versions comme 7.1.3 et 7.0.7 sont désormais marquées comme non sûres, et WordPress rappelle que seule la dernière version est activement prise en charge.
  • WordPress indique que les sites dotés de mises à jour automatiques en arrière-plan se mettront à jour seuls, mais ne le tenez pas pour acquis : si vous avez désactivé les mises à jour automatiques dans wp-config.php (par exemple avec AUTOMATIC_UPDATER_DISABLED) ou si les droits sur les fichiers empêchent l'écriture, vous devez mettre à jour à la main. Si vous utilisez le paquet WordPress de Debian, Debian a publié DSA-6596-1 le 29 octobre.
  • Puisque la CISA demande une analyse forensique, jetez un dernier coup d'œil après la mise à jour : des comptes administrateur que vous ne reconnaissez pas, et des fichiers .php inconnus à la racine du site ou dans wp-content (y compris wp-content/upgrade/, où sont préparés les fichiers de mise à niveau).

Vérifiez aussi les failles PHP des mêmes semaines

WordPress fonctionne sur PHP. Les failles php2shell de fin octobre sont désormais exploitées et peuvent être enchaînées avec une faille du noyau pour obtenir root, comme l'explique cet article ; la précédente faille exploitée du cœur de WordPress était CVE-2026-87902 en septembre, présentée ici. Pour la procédure complète d'auto-hébergement, voir créer un site WordPress sur un VPS, et avant la mise à niveau, gardez une copie grâce à l'une de ces stratégies de sauvegarde.