WordPress : faille d'exécution de code à distance corrigée en 7.1.4

En bref

• Produit : WordPress (cœur du CMS)
• Versions affectées : de 4.7 à 7.1.3
• Version corrigée : 7.1.4 (correctifs des branches antérieures non précisés par l'éditeur)
• Sévérité : élevée, score CVSS 8.1
• CVE : CVE-2026-119977
• Exploitation active : inconnu
• Date de l'avis : 31 octobre 2026

Une vulnérabilité d'exécution de code à distance a été publiée le 31 octobre 2026 dans la base NVD pour le cœur de WordPress. Elle porte l'identifiant CVE-2026-119977 et reçoit un score CVSS de 8.1, soit une sévérité élevée. L'éditeur a publié WordPress 7.1.4, référencée par l'avis comme version de correction.

Selon la description de la NVD, la faille tient à la manière dont WordPress prépare les fichiers lors d'une mise à jour complète du cœur : les emplacements temporaires utilisés pendant l'opération sont prévisibles et accessibles depuis le web. Un attaquant non authentifié pourrait en profiter pour exécuter du code sur le serveur, mais uniquement pendant la fenêtre de mise à jour. Cette condition réduit l'exposition sans la supprimer : un site qui se met à jour automatiquement traverse cette fenêtre à chaque nouvelle version.

À la date de rédaction, la faille ne figure pas au catalogue CISA KEV et aucune source consultée ne fait état d'une exploitation active.

Qui est concerné ?

Tous les sites qui utilisent WordPress dans une version comprise entre 4.7 et 7.1.3, d'après l'avis. Le problème se situe dans le cœur du CMS, et non dans une extension ou un thème : la liste des plugins installés n'y change rien.

Les sites les plus exposés sont ceux dont le cœur est mis à jour par le paquet complet, que l'opération soit lancée depuis l'administration ou déclenchée automatiquement. Les agences et freelances qui maintiennent un parc de sites ont intérêt à recenser rapidement les versions installées, car une version ancienne restée sur un site oublié reste concernée.

Le détail des versions corrigées sur les branches de maintenance plus anciennes est non précisé par l'éditeur dans les sources consultées.

Que faire ?

• Mettre à jour WordPress vers la version corrigée 7.1.4, de préférence après une sauvegarde complète des fichiers et de la base de données.
• Vérifier que la mise à jour s'est bien appliquée sur chaque site, y compris les préproductions accessibles publiquement.
• Consulter les journaux du serveur web autour des dernières mises à jour du cœur, à la recherche d'accès inhabituels ou de fichiers créés hors de toute intervention connue.
• Contrôler l'intégrité des fichiers du cœur et rechercher des fichiers PHP inconnus dans les répertoires accessibles en écriture.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, appliquer la version corrigée, puis renouveler les mots de passe et les clés de sécurité du site.

Sources

• NVD : fiche CVE-2026-119977 (avis publié le 31 octobre 2026, score CVSS 8.1)
• WordPress.org : annonce de WordPress 7.1.4
• Wordfence Intelligence : fiche de la vulnérabilité