Wordfence reproduit l’exploitation de CVE-2026-111497 via WordPress dans une configuration de laboratoire

Veille sécuritéCMS & e-commerce

P1Critique

Wordfence rapporte avoir reproduit une exécution de code à distance non authentifiée via XML-RPC pingback sur une configuration WordPress utilisant une version vulnérable de Brotli ; la faille est dans Brotli, pas dans WordPress Core, un plugin ou un thème. Le résultat dépend de la configuration du serveur et ne démontre pas une compromission de sites WordPress en production.

IdentifiantCVE-2026-111497

GravitéCritique

Exploitationconfirmée dans la nature

CorrectifNon précisé dans les sources

Source : CISA KEV

Analyse technique

Écriture hors limites dans le décodeur Brotli. L’attaque décrite passe par une requête sortante de WordPress vers un serveur contrôlé par l’attaquant, dont la réponse compressée est traitée par la bibliothèque vulnérable. Le PoC testé n’a pas fonctionné sur toutes les configurations.

Impact, versions et correctif

Événement datéArticle Wordfence publié le 2026-11-02, dans la période demandée ; il apporte des résultats de reproduction de l’exploitation via WordPress. La publication initiale de CVE-2026-111497 est antérieure à cette période.

ImpactSelon le chemin d’accès à la bibliothèque vulnérable et la configuration du serveur, un attaquant distant non authentifié pourrait provoquer un plantage, une divulgation d’informations mémoire ou une exécution de code. Wordfence rapporte une exécution de code dans son environnement de laboratoire, sans démontrer de compromission de production via WordPress.

ContournementAucun contournement spécifique n’est indiqué ; faire corriger la bibliothèque Brotli côté serveur.

Exploitation activeconfirmée dans la nature

PoC publicinconnu

CVSS9.2

EPSS82,64% · percentile 99,7%

Publication2026-11-02T15:48:08+00:00

Mise à jour2026-11-02T15:48:08+00:00

Action recommandée

Demander à l’hébergeur ou à l’administrateur système de mettre à jour Brotli et de redémarrer ou redéployer les services ayant chargé l’ancienne bibliothèque ; une mise à jour de WordPress ne corrige pas cette bibliothèque système.

Sources

Priorisation DFS : P1 · 2 source(s).