Failles dans des extensions WordPress : octobre 2026, que vérifier

En octobre 2026, trois extensions WordPress ont reçu des correctifs de sécurité urgents, et l’une d’elles est attaquée depuis le 7 octobre. De plus, le 28 octobre est sorti WordPress 7.1.4, qui corrige une erreur dans le mécanisme de mise à jour lui-même. Si le site de votre entreprise fonctionne sous WordPress, consacrez-lui 15 minutes aujourd’hui.

J’explique ce qui s’est passé, comment vérifier sans développeur si votre site est exposé, que faire tout de suite et que confier à l’hébergeur ou au prestataire du site. État des connaissances : 30 octobre 2026. Les versions corrigées peuvent encore changer : avant la mise à jour, consultez donc le site de l’éditeur de l’extension.

Ce qui s’est passé : trois extensions, dont une déjà attaquée

Les extensions sont des modules qui apportent à WordPress des formulaires, des réservations ou un chargement plus rapide. Chacune d’elles est du code écrit par d’autres, qui s’exécute sur votre serveur. Quand l’auteur commet une erreur, un tiers peut l’exploiter, souvent sans connexion.

Bricksforge (CVE-2026-85097) : attaquée depuis le 7 octobre

Bricksforge est un module complémentaire payant pour le constructeur de sites Bricks, acheté chez l’éditeur et non dans le répertoire wordpress.org. Une erreur dans le module de formulaires Pro Forms permettait à une personne sans compte de téléverser un fichier sur le serveur et d’exécuter son propre code PHP, c’est-à-dire en pratique de prendre le contrôle du site. La société Patchstack, qui a décrit les attaques, a évalué la faille à 10 sur l’échelle CVSS de 0 à 10, et Wordfence, qui lui a attribué son numéro CVE, à 9,8. Dans l’alerte de Patchstack, je lis que les premières tentatives d’attaque ont été enregistrées le 7 octobre en fin de soirée, depuis 63 adresses IP différentes.

Patchstack indique 3.1.8.10 comme version corrigée. Selon le journal des modifications de l’éditeur, le correctif figure aussi dans la 4.0.0, la version 4.0.1 du 8 octobre corrige une autre erreur dans l’envoi de fichiers via Pro Forms, et la 4.0.2 du 13 octobre ajoute d’autres protections, notamment pour le dossier des fichiers temporaires des formulaires. C’est pourquoi je recommande la mise à jour vers la 4.0.2 (la version la plus récente au 30 octobre) ou une version plus récente.

LatePoint (CVE-2026-110653) : les comptes clients du système de réservation

LatePoint sert à la réservation de rendez-vous et, selon la page de l’extension sur wordpress.org, compte plus de 100 000 installations actives. Dans les versions jusqu’à 5.7.4, une personne qui connaissait l’e-mail ou le numéro de téléphone d’un client pouvait contourner la limite de tentatives lors de la connexion par code à usage unique et accéder à son compte : voir ses réservations et ses données personnelles. Le correctif figure dans la version 5.7.5 du 16 octobre. La version 5.7.6 du 26 octobre corrige une autre erreur, moins dangereuse : le mieux est donc d’installer directement la plus récente. Dans la base de Patchstack, aucune information sur des attaques n’apparaît au 30 octobre.

10Web Booster (CVE-2026-108587) : téléversement de fichiers sans connexion

10Web Booster accélère le site et compresse les images. Selon wordpress.org, il fonctionne sur plus de 60 000 sites. Dans les versions jusqu’à 2.34.10, une personne extérieure pouvait, sous certaines conditions, téléverser un fichier sur le serveur et exécuter du code. Les descriptions de la faille la lient à une optimisation en masse des images mise en pause, mais ne partez pas du principe que cela ne vous concerne pas. Correctif : version 2.34.11. Patchstack estime que des attaques sont probables, même si elles n’avaient pas été confirmées au 30 octobre.

Qui est concerné

• Les sites qui ont l’une de ces extensions, même désactivée. Une extension désactivée reste sur le serveur.
• Les sites réalisés par une agence ou un freelance, dont personne ne consulte l’administration. Bricksforge est un outil pour les personnes qui construisent des sites avec Bricks : c’est donc généralement le prestataire qui l’installe, et le dirigeant de l’entreprise peut même ignorer qu’il l’a.
• Les sites avec des extensions payantes dont la licence a expiré. Les modules payants hors de wordpress.org ne se mettent généralement à jour qu’avec une clé de licence active. Sans elle, le tableau de bord peut ne même pas signaler qu’une nouvelle version existe.

Si votre site ne repose pas sur WordPress, ce guide ne vous concerne pas. Vous ne savez pas sur quoi il tourne ? Je l’explique dans un prochain guide, « Comment vérifier la version de PHP et sur quoi tourne votre site ».

Comment vérifier votre site en 15 minutes, sans développeur

Vous avez besoin d’un compte administrateur dans WordPress. Je donne les noms des menus du tableau de bord en français.

1. La liste des extensions. Allez dans Extensions → Extensions installées. La version de chaque extension y est indiquée. Cherchez Bricksforge, LatePoint et 10Web Booster et comparez la version avec le tableau ci-dessus.
2. Les mises à jour en attente. Dans Tableau de bord → Mises à jour, vous verrez la version de WordPress et les extensions qui ont des versions plus récentes. Si quelque chose y attend depuis des semaines, c’est le signe que personne ne surveille le site.
3. Les mises à jour automatiques. La liste des extensions comporte une colonne « Mises à jour automatiques ». Vérifiez pour quelles extensions elles sont activées. Selon la documentation, WordPress les installe deux fois par jour, mais seulement si son planificateur de tâches (WP-Cron) fonctionne. Les problèmes de planificateur apparaissent dans Outils → Santé du site.
4. Les comptes administrateurs. Allez dans Comptes → Tous les comptes et cliquez sur le filtre « Administrateur ». Tout compte que vous ne reconnaissez pas est un motif d’inquiétude. Une trace fréquente d’intrusion est un nouvel administrateur au nom qui se veut technique, par exemple « support » ou « wpadmin ».
5. Le scanner de sécurité. Si vous avez une extension de sécurité (par ex. Wordfence) ou un scanner dans le panneau de l’hébergeur, lancez une analyse complète. Vous cherchez des fichiers WordPress modifiés et des fichiers PHP dans le répertoire des images (wp-content/uploads). Les fichiers PHP n’ont rien à y faire.

Quand toutes les extensions sont dans des versions sûres, que vous connaissez les administrateurs et que le scanner n’a rien trouvé, vous pouvez souffler. Si quelque chose ne correspond pas, passez aux sections suivantes.

Que faire aujourd’hui

• Faites une sauvegarde des fichiers et de la base, de préférence dans le panneau de l’hébergeur ou avec une extension de sauvegarde. Pour une extension attaquée depuis plusieurs semaines, ne remettez pas la mise à jour « à après le week-end » : la sauvegarde et la mise à jour sont une question de minutes.
• Mettez à jour les extensions du tableau. Bricksforge se télécharge depuis votre compte chez l’éditeur ou se met à jour dans le tableau de bord après saisie de la clé de licence. Le passage de la version 3.x à la 4.x est un changement important : envoyez ensuite un message de test via chaque formulaire.
• Supprimez les extensions que vous n’utilisez pas. Les désactiver ne suffit pas. Moins d’extensions, c’est moins d’endroits où une faille peut apparaître.
• Activez les mises à jour automatiques des extensions simples, si vous avez une sauvegarde quotidienne. Les extensions de réservation, de paiement et de boutique, je les mets à jour manuellement, mais j’installe les correctifs de sécurité en un jour ou deux. J’ai décrit l’ordre des étapes et un plan de secours dans le guide mettre à jour WordPress en toute sécurité.
• Changez les mots de passe des administrateurs et activez la connexion à deux facteurs, si une version vulnérable de Bricksforge a fonctionné chez vous après le 7 octobre. Demandez en plus l’analyse des fichiers décrite plus bas, car changer les mots de passe ne supprimera pas un fichier déposé par l’intrus.

Au passage : WordPress 7.1.4 du 28 octobre

Le 28 octobre est sorti WordPress 7.1.4, qui corrige 22 failles. La plus grave est une erreur survenant pendant la mise à jour du cœur, qui pouvait conduire à l’exécution de code étranger sur le serveur. Wordfence indique que des tentatives d’exploitation sont apparues quelques heures seulement après la publication du correctif. Selon la note de version sur wordpress.org, les correctifs ont aussi été intégrés aux branches plus anciennes, par ex. 7.0.8 et 6.9.11, tandis que WordPress 4.6 et les versions plus anciennes ne reçoivent plus de correctifs de sécurité.

Vérifiez dans Tableau de bord → Mises à jour quelle version vous avez. Ces correctifs s’installent généralement d’eux-mêmes, mais seulement si personne n’a désactivé les mises à jour automatiques du cœur.

Que confier à l’hébergeur ou au prestataire du site

Certaines choses exigent un accès au serveur. Ce sont des tâches pour l’hébergeur ou pour la personne qui s’occupe du site :

• la revue des journaux du serveur à la recherche de requêtes vers les formulaires de Bricksforge depuis le 7 octobre (Patchstack indique l’adresse /wp-json/bricksforge/v1/form_submit),
• la recherche de fichiers PHP dans le répertoire wp-content/uploads, y compris dans le dossier wp-content/uploads/bricksforge/tmp/ et parmi les fichiers dont le nom commence par login_admin_,
• le blocage de l’exécution de PHP dans le répertoire des images, c’est-à-dire une simple règle serveur qui complique de nombreuses attaques de ce type,
• l’activation d’un pare-feu applicatif (WAF) avec des règles pour les nouvelles failles ; la version gratuite de Wordfence reçoit les nouvelles règles avec 30 jours de retard (elle recevra la règle pour la faille de WordPress 7.1.4 le 27 novembre) : face à des attaques en cours, le plus important reste donc la mise à jour,
• la confirmation d’une sauvegarde hors du serveur du site et la date de la dernière sauvegarde réussie.

Message que vous pouvez copier :

Bonjour, en octobre sont sortis des correctifs de sécurité pour les extensions Bricksforge (CVE-2026-85097), LatePoint (CVE-2026-110653) et 10Web Booster (CVE-2026-108587), ainsi que WordPress 7.1.4. Pourriez-vous vérifier si notre site [adresse] utilise l’une de ces extensions et s’il est à jour, passer en revue les comptes administrateurs et analyser les fichiers, et m’indiquer quand la dernière sauvegarde a été faite ? Merci de me confirmer brièvement par e-mail ce qui a été fait.

Si vous ne savez pas qui est responsable des mises à jour chez vous, j’y reviens dans un prochain guide, « Mise à jour du site : qui est responsable, l’hébergeur ou le prestataire ? ».

Quand vous voyez des traces d’intrusion

Un administrateur inconnu, des fichiers PHP dans le répertoire des images, des redirections étranges ou un avertissement dans Google sont des signes que quelqu’un est déjà passé sur votre site. La mise à jour seule ne suffit alors pas : elle ferme la porte, mais ne met pas l’intrus dehors. J’ai décrit le plan pour la première heure dans le guide WordPress piraté : que faire.

Si le site contient des comptes clients, par exemple dans LatePoint, et que quelqu’un a pu y accéder, parlez-en à la personne responsable du RGPD dans l’entreprise. Une violation de données à caractère personnel se notifie à l’UODO (Urząd Ochrony Danych Osobowych, l’autorité polonaise de protection des données personnelles) dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, à moins qu’il soit peu probable qu’elle engendre un risque pour les droits et libertés des personnes concernées (art. 33 du RGPD). Ce n’est pas un conseil juridique, seulement un signal pour ne pas laisser passer le délai.

En résumé

En octobre, une extension a fait l’objet d’attaques, et deux autres ont reçu des correctifs urgents. Vérifiez la liste des extensions, les comptes administrateurs et la version de WordPress, supprimez ce que vous n’utilisez pas et établissez qui est responsable des mises à jour chez vous.

Si vous préférez ne pas surveiller cela vous-même, je m’en charge dans le cadre de la maintenance technique. Dans le forfait Veille (à partir de 149 PLN HT par mois), j’installe les mises à jour de sécurité urgentes sous 2 jours et je fais chaque semaine une sauvegarde hors du serveur ; Standard (à partir de 349 PLN HT) offre une sauvegarde quotidienne et une réaction sous 1 jour ouvré, et Pro (à partir de 749 PLN HT) une réaction sous 4 heures. Je vérifierai l’état de la sécurité lors d’un audit de sécurité (à partir de 990 PLN HT), et je renforcerai le serveur et l’application dans le cadre du service cybersécurité du projet. Écrivez-moi, je réponds sous 24 heures.