Duplicator : faille d'exécution de code PHP corrigée en 5.0.0

En bref

• Produit : Duplicator, extension WordPress.
• Versions affectées : toutes les versions antérieures à 5.0.0.
• Version corrigée : 5.0.0.
• Sévérité : élevée, score CVSS 7.2.
• CVE : CVE-2026-115251.
• Exploitation active : inconnu.
• Date de l'avis : 25 octobre 2026.

Une vulnérabilité a été publiée dans la base NVD pour Duplicator, une extension WordPress de sauvegarde et de migration de sites. Elle concerne la routine de mise à niveau « en un clic » intégrée à l'extension. Selon l'avis, cette routine n'est pas réservée aux utilisateurs autorisés à installer l'extension, et elle est en outre exposée sans authentification.

Conséquence décrite par l'avis : sur une installation WordPress multisite, l'administrateur d'un sous-site, qui n'est pas administrateur du réseau, peut installer et exécuter du code PHP arbitraire dans le répertoire de l'extension partagé par tout le réseau. Autrement dit, un compte censé n'avoir la main que sur un seul site peut agir sur l'ensemble des sites du réseau. Le score CVSS attribué est de 7.2, soit une sévérité élevée.

À la date de rédaction, aucune exploitation active n'est signalée par les sources consultées : la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA. Cela ne garantit pas l'absence d'attaques, d'autant que l'avis est désormais public.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Duplicator dans une version antérieure à 5.0.0. Le scénario décrit par l'avis vise en priorité les installations multisite, où des administrateurs de sous-sites distincts cohabitent avec un ou plusieurs administrateurs du réseau. C'est une configuration fréquente chez les agences, les établissements ou les groupes qui gèrent plusieurs sites depuis une même instance.

Sur un site WordPress classique, sans réseau multisite, l'impact précis n'est pas détaillé par l'avis : il est non précisé par l'éditeur. La mise à jour reste recommandée dans tous les cas, puisque la routine concernée est présente dans toutes les versions affectées.

Que faire ?

• Mettre à jour Duplicator vers la version 5.0.0 sur chaque site ou réseau qui l'utilise.
• Si la mise à jour ne peut pas être appliquée rapidement, désactiver l'extension en attendant.
• Sur un réseau multisite, passer en revue la liste des administrateurs de sous-sites et retirer les comptes inutiles ou inconnus.
• Vérifier les journaux du serveur et de WordPress à la recherche d'installations ou de modifications de fichiers inattendues dans le répertoire des extensions.
• En cas de signe de compromission, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Pour une agence qui maintient plusieurs sites clients, il est utile de recenser rapidement les installations où Duplicator est présent, puis de vérifier après coup que la version 5.0.0 est bien en place partout.

Sources

• NVD : fiche CVE-2026-115251
• WPScan : avis de vulnérabilité Duplicator