SSL Wireless SMS Notification : contournement d'authentification, pas encore de correctif

En bref

• Produit : SSL Wireless SMS Notification, extension WordPress
• Versions affectées : toutes les versions jusqu'à la 3.8.1 incluse
• Version corrigée : non précisé par l'éditeur à la date de l'avis
• Sévérité : élevée, score CVSS 8.1
• CVE : CVE-2026-96228
• Exploitation active : inconnu
• Date de l'avis : 29 octobre 2026

Une faille de contournement d'authentification a été publiée le 29 octobre 2026 dans l'extension WordPress SSL Wireless SMS Notification, qui permet notamment de se connecter à un site au moyen d'un code envoyé par SMS. Référencée CVE-2026-96228, elle touche toutes les versions jusqu'à la 3.8.1 incluse et reçoit un score CVSS de 8.1, soit une sévérité élevée. Aucune version corrigée n'est mentionnée dans les sources disponibles à ce jour.

De quoi s'agit-il ?

D'après la fiche publiée dans la base NVD, la connexion par SMS proposée par l'extension ne vérifie pas réellement le code à usage unique envoyé au téléphone de l'utilisateur. L'étape finale de la connexion se contente de rapprocher des informations fournies par le visiteur lui-même, sans contrôle côté serveur du code reçu ni de son caractère unique.

Conséquence : une personne non authentifiée qui connaît le numéro de téléphone associé à un compte du site peut ouvrir une session au nom de ce compte, et donc en prendre le contrôle. Si le compte visé dispose de droits d'administration, c'est l'ensemble du site qui est exposé : modification des contenus, création de comptes, installation d'extensions.

À la date de l'avis, aucune exploitation active n'est signalée par les sources consultées. Cela ne garantit pas l'absence d'attaques : la faille ne demande ni compte sur le site ni action de la victime, ce qui la rend simple à cibler.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension SSL Wireless SMS Notification est installée et active, dans une version allant jusqu'à la 3.8.1 incluse. Le risque est le plus élevé lorsque la connexion par SMS est activée et que des comptes, en particulier des comptes administrateurs ou gestionnaires de boutique, sont liés à un numéro de téléphone. Les numéros professionnels sont souvent publics, ce qui facilite le ciblage.

Les sites qui n'utilisent pas cette extension ne sont pas concernés par cette vulnérabilité.

Que faire ?

• Vérifier dans le tableau de bord WordPress si l'extension est installée et quelle version est en service.
• Mettre à jour dès qu'une version corrigée sera publiée par l'éditeur ; tant qu'aucun correctif n'est disponible, désactiver l'extension ou au minimum la connexion par SMS, et proposer une autre méthode de connexion.
• Contrôler la liste des comptes utilisateurs, en particulier les administrateurs, et supprimer tout compte inconnu.
• Vérifier les journaux de connexion et d'activité à la recherche de sessions ouvertes depuis des adresses inhabituelles.
• Renouveler les mots de passe des comptes à privilèges et invalider les sessions en cours.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis appliquer les mesures ci-dessus avant de remettre le site en ligne.

Sources

• NVD : fiche CVE-2026-96228 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement)