GEO my WordPress : injection d'objet PHP critique sans authentification

En bref

• Produit : extension GEO my WordPress pour WordPress
• Versions affectées : non précisé par l'éditeur (les sources consultées ne détaillent pas la plage de versions vulnérables)
• Version corrigée : non précisé par l'éditeur
• Sévérité : critique, score CVSS 9,8
• CVE : CVE-2026-61992
• Exploitation active : inconnu
• Date de l'avis : 29 octobre 2026

Une vulnérabilité critique, référencée CVE-2026-61992, a été publiée le 29 octobre 2026 dans la base NVD. Elle touche GEO my WordPress, une extension WordPress de géolocalisation et de recherche par proximité. Il s'agit d'une injection d'objet PHP exploitable sans authentification : un visiteur anonyme peut, dans certaines conditions, faire traiter par le site des données sérialisées qu'il contrôle.

Le score CVSS attribué est de 9,8 sur 10, soit le niveau de sévérité critique. Ce score élevé s'explique par l'absence de prérequis : pas de compte, pas d'interaction d'un utilisateur. Selon les composants présents sur le site, ce type de faille peut mener à une prise de contrôle, à la suppression de fichiers ou à la lecture de données sensibles.

À la date de rédaction, aucune source ne fait état d'une exploitation active, et la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA. L'absence de signalement ne garantit pas l'absence d'attaques : les failles non authentifiées de ce niveau sont généralement recherchées rapidement par des robots automatisés.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension GEO my WordPress est installée sont potentiellement concernés, même lorsqu'elle est désactivée, par précaution. Le cœur de WordPress n'est pas en cause : seule l'extension l'est.

La plage exacte de versions vulnérables et le numéro de la version corrigée ne sont pas précisés dans les sources que nous avons consultées. Reportez-vous à la fiche de la base Patchstack citée plus bas, ainsi qu'au journal des modifications de l'extension dans votre tableau de bord, pour connaître la version qui intègre le correctif.

Les agences et freelances qui maintiennent un parc de sites ont intérêt à inventorier rapidement les installations qui utilisent cette extension, en particulier les sites d'annuaires, de points de vente ou de recherche géographique, qui en font souvent usage.

Que faire ?

• Vérifier si l'extension GEO my WordPress est installée sur vos sites, y compris sur les environnements de préproduction.
• Mettre à jour l'extension vers la dernière version publiée par son auteur, en contrôlant dans le journal des modifications qu'elle mentionne bien la correction de cette faille.
• Si aucune version corrigée n'est disponible, ou si l'extension n'est plus utile, la désactiver puis la supprimer en attendant le correctif.
• Examiner les journaux du serveur web à la recherche d'activité inhabituelle visant l'extension, et vérifier l'absence de comptes administrateurs ou de fichiers inconnus.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis renouveler les mots de passe et les clés de sécurité du site.

Sources

• NVD : fiche CVE-2026-61992 (source primaire)
• Patchstack : GEO my WordPress, injection d'objet PHP (base de vulnérabilités, recoupement)