JetBackup : faille d'écriture de fichier arbitraire corrigée en 3.1.24.10

En bref

• Produit : JetBackup, extension de sauvegarde pour WordPress.
• Versions affectées : toutes les versions antérieures à 3.1.24.10.
• Version corrigée : 3.1.24.10.
• Sévérité : élevée, score CVSS 7.2.
• CVE : CVE-2026-104068.
• Exploitation active : inconnu.
• Date de l'avis : 22 octobre 2026.

Une vulnérabilité d'écriture de fichier arbitraire a été publiée dans la base NVD pour l'extension WordPress JetBackup. Elle touche la fonction d'import et de restauration de sauvegardes. Le correctif est disponible en version 3.1.24.10 : la mise à jour est la mesure prioritaire.

De quoi s'agit-il ?

D'après la description publiée par la NVD, lors de l'import puis de la restauration d'une archive de sauvegarde, l'extraction suit des liens symboliques contenus dans l'archive sans vérifier leur cible ni s'assurer que les fichiers restent dans le dossier de destination prévu. Une archive spécialement préparée peut donc conduire à écrire des fichiers en dehors de l'emplacement de restauration attendu.

Selon l'emplacement accessible en écriture et la configuration du serveur, cette écriture peut aller jusqu'à l'exécution de code côté serveur. C'est ce qui justifie la sévérité élevée attribuée à la faille.

Point important pour évaluer le risque : l'attaque nécessite un compte administrateur WordPress authentifié. Un visiteur anonyme ne peut pas l'exploiter directement. Le scénario reste toutefois sérieux dans plusieurs cas : un compte administrateur compromis (mot de passe réutilisé, hameçonnage), un site administré par plusieurs prestataires, ou une archive de sauvegarde d'origine douteuse importée de bonne foi. Un administrateur WordPress dispose déjà de droits étendus, mais cette faille lui permet d'agir sur les fichiers du serveur au-delà de ce que l'interface prévoit.

Aucune exploitation active n'est signalée à ce jour : la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension JetBackup est installée dans une version antérieure à 3.1.24.10. Le nombre d'installations actives est non précisé par l'éditeur. Les sites où plusieurs personnes ou prestataires disposent d'un accès administrateur, ainsi que ceux où des archives de sauvegarde sont régulièrement importées depuis d'autres environnements, sont les plus exposés.

Les agences et freelances qui maintiennent un parc de sites ont intérêt à vérifier rapidement quelles installations utilisent cette extension, et dans quelle version.

Que faire ?

• Mettre à jour JetBackup vers la version 3.1.24.10 ou une version ultérieure, depuis le tableau de bord WordPress ou le répertoire officiel des extensions.
• En attendant la mise à jour, ne restaurer que des archives de sauvegarde dont l'origine est connue.
• Passer en revue les comptes administrateurs : supprimer les comptes inutiles et renforcer l'authentification des autres.
• Vérifier les journaux du serveur et de WordPress à la recherche d'imports ou de restaurations de sauvegarde inattendus, et de fichiers récemment créés ou modifiés hors des dossiers habituels.
• En cas de compromission avérée ou suspectée, restaurer une sauvegarde saine antérieure à l'incident, puis changer l'ensemble des mots de passe et clés d'accès.

Sources

• NVD : fiche CVE-2026-104068 (avis de référence).
• WordPress.org : page officielle de l'extension JetBackup (journal des versions).
• VulnCheck : avis sur JetBackup (recoupement).