Advanced Custom Fields: Extended : faille critique corrigée en 0.9.2.8

En bref

• Produit : Advanced Custom Fields: Extended et Advanced Custom Fields: Extended PRO, extensions WordPress.
• Versions affectées : toutes les versions antérieures à 0.9.2.8.
• Version corrigée : 0.9.2.8.
• Sévérité : critique, score CVSS 9 selon le NVD.
• CVE : CVE-2026-94267.
• Exploitation active : inconnu.
• Date de l'avis : 23 octobre 2026.

Le NVD a publié le 23 octobre 2026 la fiche CVE-2026-94267. Elle concerne Advanced Custom Fields: Extended, une extension WordPress qui ajoute des fonctions à Advanced Custom Fields, dont des formulaires affichés sur la partie publique du site. Selon l'avis, l'extension ne vérifie pas les droits du visiteur lorsqu'un contenu est mis à jour par l'une de ses actions de formulaire front-end. Un visiteur non authentifié peut alors écraser des contenus arbitraires, y compris ceux dans lesquels le site enregistre ses propres définitions de champs, ce qui conduit à l'exécution de code arbitraire sur le serveur.

La faille est corrigée dans la version 0.9.2.8, pour l'édition gratuite comme pour l'édition PRO.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Advanced Custom Fields: Extended ou Advanced Custom Fields: Extended PRO dans une version antérieure à 0.9.2.8. Le nombre d'installations actives est non précisé par l'éditeur.

L'avis pose une condition importante : l'exploitation suppose que le site publie un formulaire dont l'action de mise à jour de contenu laisse au visiteur le choix à la fois du contenu ciblé et de ce qui y est écrit. Un site qui n'utilise pas les formulaires front-end de l'extension, ou qui ne les configure pas de cette façon, est donc moins exposé. Cette configuration est cependant difficile à auditer sur un parc de sites : la mise à jour reste la mesure à privilégier partout où l'extension est installée.

Les conséquences décrites sont lourdes : l'exécution de code sur le serveur ouvre la voie à une prise de contrôle du site, de ses fichiers et de sa base de données. C'est ce qui explique la sévérité critique retenue.

Que faire ?

• Mettre à jour Advanced Custom Fields: Extended ou sa version PRO vers la version 0.9.2.8 ou ultérieure, sur chaque site concerné, préproductions comprises.
• En attendant la mise à jour, dépublier les formulaires front-end de l'extension qui modifient des contenus existants, ou désactiver l'extension si elle n'est pas indispensable.
• Vérifier les journaux du serveur web et l'historique des contenus : modifications inattendues de publications, de groupes de champs ou de réglages, nouveaux comptes administrateurs, fichiers ajoutés récemment.
• Contrôler les groupes de champs et les définitions enregistrées par Advanced Custom Fields pour repérer toute altération.
• En cas de compromission avérée ou suspectée, restaurer une sauvegarde saine antérieure à l'intrusion, appliquer la mise à jour avant la remise en ligne, puis renouveler les mots de passe et les clés de sécurité du site.

À la date de l'avis, la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA. L'absence de signalement ne garantit pas pour autant l'absence d'exploitation : pour une faille accessible sans authentification, mieux vaut ne pas attendre.

Sources

• NVD : fiche CVE-2026-94267, avis officiel du 23 octobre 2026.
• WPScan : avis sur Advanced Custom Fields: Extended, base de vulnérabilités WordPress (recoupement).