La CISA confirme l'exploitation de la faille WordPress CVE-2026-119977

Le 3 novembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a inscrit la faille CVE-2026-119977 du cœur de WordPress au catalogue des vulnérabilités déjà exploitées. Wordfence la note 8,1 sur 10. Elle permet d'exécuter du code sans compte, seulement pendant le déballage d'une mise à jour complète.

Ce n'est pas la faille d'installation de thème déjà traitée dans un article précédent. Ici, personne n'a besoin d'un compte sur le site : il faut être là quand WordPress ouvre le paquet.

Quelques secondes pendant le déballage

WordPress 7.1.4 est sorti le 28 octobre 2026. Le communiqué d'Aaron Jorbin demande une mise à jour immédiate. Il retient une faiblesse du processus de mise à jour pouvant mener à une exécution de code à distance pendant cette fenêtre, signalée par Umut Bayram. Wordfence vise les versions 4.7 à 7.1.3.

Sur ces versions, une mise à jour par paquet complet extrait les fichiers dans un dossier au nom prévisible, sous wp-content/upgrade, souvent joignable depuis le web. Cette copie contient l'installeur. Qui l'atteint au bon moment peut aller jusqu'à faire exécuter du PHP. En laboratoire, Wordfence a mesuré une présence de quelques secondes. Une requête isolée a peu de chances de tomber juste. Des sondes répétées visent cet intervalle.

La 7.1.4 rend le nom du dossier aléatoire, ajoute un fichier d'index et bloque la promotion d'une configuration déposée dans cette zone. La correction a été préparée jusqu'à la branche 4.7. Le 28 octobre, WordPress disait que les rétroportages partaient au fur et à mesure : c'est le numéro du tableau de bord qui compte.

Plus de 18 500 requêtes en vingt et une heures

Le 28 octobre 2026 à 20 h 30 UTC, environ trois heures après l'annonce, Wordfence a publié une règle de pare-feu. Le premier blocage est arrivé neuf minutes plus tard. En vingt et une heures, l'éditeur a compté plus de 18 500 requêtes vers l'installeur temporaire, surtout le fichier setup-config.php présent le temps du déballage. Deux sources ont sondé de petits groupes de sites pendant environ quatorze heures et demie.

The Hacker News écrit, le 4 novembre 2026, que 12 632 tentatives ont été bloquées dans les vingt-quatre heures précédentes. Il cite Previdian : trois essais sur des pots de miel le 30 octobre 2026, depuis une adresse au Royaume-Uni. L'alerte de la CISA ne publie pas les preuves de l'inscription.

La règle ne remplace pas la mise à jour. Wordfence Premium, Care et Response l'ont eue le 28 octobre. L'édition gratuite attend le 27 novembre 2026. La requête appelle un fichier PHP sans charger WordPress : une protection interne au site peut la manquer.

Vérifier le numéro, puis les journaux

La notice du catalogue, citée par The Hacker News, décrit la course entre un contrôle et l'usage de son résultat :

a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window

L'alerte date du 3 novembre 2026. L'obligation vise les agences civiles de l'exécutif fédéral, via la directive BOD 26-04. La CISA demande à toutes les organisations de traiter ces failles en priorité, et aux agences de chercher une compromission antérieure au correctif quand l'exploitation donne le contrôle de la machine. The Hacker News situe leur échéance au 6 novembre 2026.

Le 29 octobre 2026, Wordfence publie les versions corrigées ci-dessous. Les branches 4.6 et plus anciennes n'ont plus de correctif de sécurité. Seule la dernière branche est officiellement supportée. La 7.2 est annoncée pour le 8 décembre 2026.

• Branche 7.1 : 7.1.4. Branche 7.0 : 7.0.8.

• Branches 6.9 à 6.6 : 6.9.11, 6.8.12, 6.7.11 et 6.6.11.

• Branches 6.5 à 6.0 : 6.5.14, 6.4.14, 6.3.14, 6.2.15, 6.1.16 et 6.0.18.

• Branches 5.9 à 4.7 : 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31, 4.9.35, 4.8.34 et 4.7.39.

Le correctif protège les prochaines mises à jour. Il ne dit pas si une mise à jour lancée sur une version encore vulnérable a été interceptée. Autour de cette heure, cherchez des requêtes vers des fichiers PHP sous wp-content/upgrade, des comptes administrateur inconnus, des extensions ou des fichiers PHP que l'équipe n'a pas déposés. Une requête aboutie sur l'installeur temporaire, pendant le déballage, appelle une enquête.

Sources

• Alerte CISA du 3 novembre 2026, inscription de CVE-2026-119977 au catalogue des vulnérabilités exploitées.

• WordPress 7.1.4, communiqué d'Aaron Jorbin du 28 octobre 2026.

• Analyse Wordfence, versions, télémétrie et conduite à tenir, 29 octobre 2026.

• The Hacker News, article du 4 novembre 2026 sur l'échéance du 6 novembre et les chiffres complémentaires.