Faille WordPress CVE-2026-119977 : les pirates frappent pendant la mise à jour, voici le bon ordre
Mettre WordPress à jour, c’est le premier conseil qu’on donne à tout propriétaire de site. Cette semaine, ce conseil vient avec une mise en garde : une faille WordPress exploitée en ce moment frappe justement pendant la mise à jour. Si votre site roule une version antérieure à 7.1.4, le moment où vous cliquez sur « Mettre à jour » est celui que les pirates attendent.
Le 3 novembre 2026, l’agence américaine CISA a ajouté la faille CVE-2026-119977 (gravité 8,1 sur 10) à sa liste des vulnérabilités activement exploitées. WordPress l’a corrigée le 28 octobre avec la version 7.1.4. Voici ce qui se passe et, surtout, dans quel ordre agir.
Faille WordPress CVE-2026-119977 : une course de quelques secondes
Lors d’une mise à jour complète du cœur de WordPress, les nouveaux fichiers sont d’abord décompressés dans un dossier temporaire au nom prévisible, wp-content/upgrade/. Ce dossier contient entre autres l’assistant d’installation setup-config.php, et il est accessible depuis le Web. Pendant ce court moment, un pirate qui l’appelle peut relancer l’installation, brancher le site sur sa propre base de données et exécuter du code sur votre serveur. Aucun compte n’est nécessaire.
La fenêtre d’attaque pendant une mise à jour du cœur
La durée exacte varie selon le serveur. Les attaquants interrogent les sites en boucle pour tomber pile dans cette fenêtre.
Wordfence a enregistré plus de 18 500 requêtes visant ces chemins dans les 21 heures qui ont suivi la divulgation. Selon ses observations, certains attaquants interrogent un même site pendant des heures en attendant qu’une mise à jour démarre. C’est automatisé et ça vise tous les sites, pas seulement les grandes entreprises.
Êtes-vous touché? Les versions à vérifier
Dans votre tableau de bord, la version s’affiche en bas à droite ou sous Tableau de bord > Mises à jour. Notez-la dans la dernière colonne :
Le bon ordre : fermer la porte, puis mettre à jour
Comme l’attaque vise la mise à jour elle-même, on bloque d’abord le dossier temporaire au niveau du serveur, puis on met à jour. Voici la marche à suivre :
1. Bloquer le dossier temporaire
Apache / .htaccess : RedirectMatch 403 ^/wp-content/upgrade/
Ajoutez cette ligne au fichier .htaccess à la racine du site (sur Nginx, un bloc location qui refuse l’accès à /wp-content/upgrade/). Testez : l’adresse doit répondre « 403 Interdit ».
2. Sauvegarder
Fichiers + base de données
Prenez une sauvegarde complète avant toute modification, et vérifiez qu’elle s’ouvre.
3. Mettre à jour
Tableau de bord > Mises à jour > WordPress 7.1.4
Ou en ligne de commande : wp core update. Choisissez une heure où vous pouvez rester devant l’écran.
4. Vérifier l’intégrité
wp core verify-checksums
La commande compare vos fichiers à ceux de WordPress.org. Tout fichier modifié ou ajouté doit être examiné.
5. Garder le blocage
/wp-content/upgrade/ reste interdit
Ce dossier n’a jamais besoin d’être visité depuis le Web. Laissez la règle en place pour les prochaines mises à jour.
Si votre site est chez un hébergeur géré qui fait les mises à jour pour vous, demandez-lui par écrit s’il est déjà à 7.1.4 et s’il bloque ce dossier. Nous avions vu la même logique de « faille dans l’outil de mise à jour » avec les clés UpdraftCentral volées.
Quelqu’un a-t-il essayé sur votre site?
// Repérer une tentative dans les journaux
Comment lire le résultat
- 1Cherchez toute visite vers wp-content/upgrade/. En temps normal, il n’y en a aucune.
- 2Un GET qui reçoit 404 ou 403 : tentative bloquée ou hors fenêtre. À noter, sans paniquer.
- 3Un POST qui reçoit 200 sur setup-config.php : compromission probable. Isolez le site et faites appel à un spécialiste.
- 4Après la mise à jour, tout fichier signalé par verify-checksums doit être expliqué.
Vérifiez aussi dans wp-config.php que DB_HOST pointe toujours vers votre serveur de base de données habituel.
Questions fréquentes
Q1. Les mises à jour automatiques de WordPress me protègent-elles?
Elles installent le correctif, mais elles ouvrent elles aussi la fenêtre d’attaque, souvent la nuit. Bloquer d’abord le dossier temporaire reste la bonne pratique, même si votre site se met à jour seul.
Q2. J’ai une extension de sécurité. Est-ce suffisant?
Ça dépend de l’extension et de la formule. Wordfence a publié une règle de pare-feu pour ses clients payants; la version gratuite la reçoit habituellement environ 30 jours plus tard. Vérifiez auprès de votre fournisseur plutôt que de supposer.
Q3. Mon site est déjà à 7.1.4. Dois-je faire autre chose?
Oui : vérifiez les journaux de la période entre le 28 octobre et votre mise à jour, puis lancez verify-checksums. Si la mise à jour s’est faite pendant une attaque, le site pourrait déjà être compromis.
Q4. Est-ce lié à la faille PHP dont vous avez parlé?
Non, c’est une faille distincte, propre à WordPress. Mais la leçon est la même que pour la faille PHP critique : un site web, ça s’entretient comme un serveur.
Comment NeoTech peut vous aider
Nous pouvons appliquer pour vous le blocage, la sauvegarde, la mise à jour et la vérification d’intégrité, puis analyser vos journaux depuis le 28 octobre. Nos services de création et d’entretien de sites web incluent les mises à jour planifiées et testées, et notre surveillance automatisée 24/7 avec intervention du technicien de garde repère les fichiers modifiés et les requêtes suspectes sur vos sites et serveurs. Pour l’ensemble de vos protections, voyez nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions ensemble la version de votre site WordPress, vos extensions, vos sauvegardes et qui s’occupe réellement des mises à jour.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- CISA — CISA Adds One Known Exploited Vulnerability to Catalog, 3 novembre 2026 (en anglais)
- The Hacker News — CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades, 4 novembre 2026 (en anglais)
- Wordfence — WordPress 7.1.4 Security Release (exécution de code à distance) (en anglais)
- WordPress.org — Version 7.1.4 (en anglais)
Photo : Artem Podrez, Pexels (licence Pexels).