Veille sécuritéCMS & e-commerce
P2Élevée
Une vulnérabilité de WordPress Core permet une exécution de code à distance sans authentification pendant une fenêtre très brève, lorsqu’une mise à jour complète du cœur est en cours. Wordfence rapporte des tentatives d’exploitation et recommande de vérifier que le site a installé la version corrigée correspondant à sa branche.
WordPress
IdentifiantCVE-2026-119977
GravitéÉlevée
Exploitationrapportée, à confirmer
Correctif4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8, 7.1.4
Source : Wordfence — WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release
Analyse technique
Les versions concernées utilisent des chemins de staging prévisibles et accessibles sur le Web lors d’une mise à jour complète. L’attaquant non authentifié peut tenter d’interagir avec l’installateur WordPress temporairement déployé pendant la fenêtre de mise à jour.
Impact, versions et correctif
Événement datéAvis de sécurité et information sur les tentatives d’exploitation publiés le 2026-10-29 ; la version 7.1.4 et les versions corrigées des branches indiquées sont le correctif retenu.
ImpactUn attaquant non authentifié pourrait exécuter du code à distance sur le serveur pendant la fenêtre de staging de la mise à jour.
Versions affectéesWordPress Core 4.7 à 7.1.3
Version corrigée4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8, 7.1.4
ContournementAucun contournement indiqué ; vérifier la protection étendue du pare-feu Wordfence contre les requêtes directes vers des fichiers PHP ne remplace pas la mise à jour.
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS8.1
Publication2026-10-29T21:58:44+00:00
Mise à jour2026-10-29T21:58:44+00:00
Action recommandée
Mettre à jour WordPress vers la version corrigée correspondant à la branche utilisée et confirmer que la mise à jour s’est achevée.
Sources
Priorisation DFS : P2 · 1 source(s).