WP Fastest Cache : fuite d'identifiants sur Multisite, versions jusqu'à 1.5.3

En bref

• Produit : WP Fastest Cache, extension de cache pour WordPress.
• Versions affectées : toutes les versions jusqu'à 1.5.3 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : moyenne, score CVSS 5.9.
• CVE : CVE-2026-111464.
• Exploitation active : inconnu.
• Date de l'avis : 3 novembre 2026.

Une vulnérabilité d'exposition d'informations sensibles a été publiée le 3 novembre 2026 pour WP Fastest Cache, une extension de mise en cache très répandue : la page WordPress.org de l'extension revendique un million d'installations actives. Selon la fiche NVD, l'extension met en cache la réponse de la page d'activation de compte de WordPress sans tenir compte des consignes qui interdisent normalement sa mise en cache. Cette réponse, qui contient les identifiants du compte tout juste activé, se retrouve alors dans un fichier de cache accessible publiquement.

Conséquence : un attaquant non authentifié peut récupérer le nom d'utilisateur et le mot de passe en clair du dernier inscrit ayant activé son compte. Le score reste modéré, car les conditions d'exploitation sont restrictives.

Qui est concerné ?

D'après l'avis, le risque ne concerne que les sites qui réunissent toutes les conditions suivantes :

• WP Fastest Cache installé et actif, dans une version jusqu'à 1.5.3 incluse ;
• une installation WordPress Multisite en mode sous-répertoires ;
• l'inscription publique des utilisateurs et des sites activée.

Les identifiants ne sont exposés qu'après qu'un véritable inscrit a suivi son lien d'activation. Un site WordPress classique (non Multisite), ou un Multisite fermé aux inscriptions publiques, n'est pas concerné selon la description de la NVD. Pour une agence qui gère un parc de sites, l'inventaire doit donc croiser trois informations : la présence de l'extension, sa version et la configuration Multisite.

Que faire ?

• Vérifier la version de WP Fastest Cache installée sur chaque site et appliquer la mise à jour de sécurité dès que l'éditeur publie une version corrigée (version corrigée : non précisé par l'éditeur à la date de l'avis).
• En attendant, sur les Multisite ouverts aux inscriptions, envisager de suspendre temporairement l'inscription publique ou de désactiver l'extension si le cache n'est pas indispensable.
• Vider le cache de l'extension pour supprimer d'éventuelles pages d'activation déjà enregistrées.
• Demander aux comptes créés récemment de changer leur mot de passe et vérifier les journaux de connexion à la recherche d'accès inhabituels.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis réinitialiser les mots de passe concernés.

Sources

• NVD : fiche CVE-2026-111464 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• WordPress.org : page officielle de WP Fastest Cache