Kirki : contournement du reCAPTCHA corrigé en 6.2.5
30 octobre 20263 min de lecturePar Rédaction Sentinelo
En bref
- Produit : Kirki, extension WordPress (Freeform Page Builder, Website Builder & Customizer).
- Versions affectées : toutes les versions antérieures à 6.2.5.
- Version corrigée : 6.2.5.
- Sévérité : moyenne, score CVSS 6.5 selon le NVD.
- CVE : CVE-2026-112348.
- Exploitation active : inconnu.
- Date de l'avis : 30 octobre 2026.
Une vulnérabilité a été publiée dans l'extension WordPress Kirki, référencée CVE-2026-112348. Elle concerne la protection reCAPTCHA des formulaires proposés aux visiteurs par l'extension. Selon la fiche du NVD, un défaut dans la logique de vérification permet à un attaquant non authentifié d'envoyer des formulaires sans passer la vérification reCAPTCHA. Le problème est corrigé dans la version 6.2.5.
Il ne s'agit pas d'une prise de contrôle du site : d'après les informations publiées, la faille ne donne accès ni à l'administration ni aux données existantes. Son impact relève de l'abus. Un tiers peut soumettre des formulaires en nombre illimité, ce qui déclenche les e-mails de notification et les webhooks configurés, et ajoute sans limite des enregistrements dans la table des soumissions. Concrètement, cela peut se traduire par du spam massif, une boîte de réception saturée, des automatisations déclenchées à tort et une base de données qui grossit inutilement.
Qui est concerné ?
Sont concernés les sites WordPress qui utilisent Kirki dans une version antérieure à 6.2.5 et qui exploitent ses formulaires publics protégés par reCAPTCHA. La fiche WordPress.org de l'extension indique 500000 installations actives, ce qui en fait une extension très répandue, notamment comme constructeur de pages et outil de personnalisation de thème.
Les sites qui ont installé Kirki sans utiliser ses formulaires sont moins exposés à cet abus précis, mais la mise à jour reste recommandée. Les sites dont les formulaires alimentent des webhooks (CRM, outils d'automatisation, messagerie d'équipe) doivent être particulièrement attentifs, car chaque soumission frauduleuse peut se propager vers ces services.
Aucune exploitation active n'est signalée : la vulnérabilité ne figure pas au catalogue KEV de la CISA à la date de l'avis.
Que faire ?
- Mettre à jour Kirki vers la version 6.2.5 ou ultérieure depuis le tableau de bord WordPress, après une sauvegarde récente du site.
- Vérifier la version réellement installée sur chaque site du parc, y compris les préproductions accessibles publiquement.
- Examiner les journaux du serveur et la table des soumissions de formulaires à la recherche de pics d'envois anormaux.
- Contrôler les services reliés aux webhooks des formulaires et supprimer les entrées indésirables qu'ils auraient reçues.
- En cas de compromission avérée ou de base de données dégradée, restaurer une sauvegarde saine antérieure aux envois abusifs, puis appliquer la mise à jour.
Si la mise à jour ne peut pas être appliquée tout de suite, désactiver temporairement les formulaires concernés limite l'exposition en attendant le correctif.
Sources
Questions fréquentes
Quelle version de Kirki corrige la faille CVE-2026-112348 ?
La version 6.2.5 corrige la faille. Toutes les versions antérieures sont affectées.
Cette faille permet-elle de pirater le site ?
D'après les informations publiées, non : elle permet d'envoyer des formulaires sans vérification reCAPTCHA, ce qui expose au spam, au déclenchement abusif des notifications et webhooks et au remplissage de la base de données.
La faille est-elle exploitée activement ?
Ce n'est pas établi : la vulnérabilité ne figure pas au catalogue KEV de la CISA à la date de l'avis.
Pour aller plus loin
Autres alertes
Gardez une longueur d’avance sur les failles de votre parc.
Scanner mon site