Le 22 septembre 2026, WordPress a publié la version 7.1.2 pour corriger CVE-2026-87902, une faille critique de résolution des modèles de page. Les premières observations décrivaient du sondage; des chercheurs ont ensuite signalé des tentatives d'exploitation destinées à écrire des fichiers et à exécuter des commandes.
Le risque n'est pas uniforme : la chaîne d'exploitation exige un thème et un environnement PHP compatibles. Cette nuance ne doit toutefois pas retarder la mise à jour d'un site exposé, car un attaquant non authentifié peut déclencher la première étape.
Ce que corrige WordPress
L'avis officiel explique qu'un attaquant peut, sous certaines conditions, faire inclure à WordPress un fichier PHP local lisible situé hors des répertoires du thème actif. Si les préconditions du serveur et du thème sont réunies, cette inclusion peut aboutir à une exécution de code à distance.
Les versions corrigées publiées sont 7.1.2, 7.0.6, 6.9.9, 6.8.10 et, pour la branche la plus ancienne, 4.7.37. Vérifiez la version installée sur chaque site, y compris les clones de préproduction, et installez le correctif de la branche correspondante. Les versions antérieures à 4.7 ne sont pas couvertes par ce rétroportage.
Une exploitation qui s'accélère
Patchstack a observé les premières requêtes malveillantes le jour de la publication, puis des tentatives d'écriture de fichiers PHP dans /tmp et /var/tmp. SecurityWeek rapporte que l'activité est passée du sondage à des compromissions actives. Ces constats prouvent une exploitation de la faille, pas la compromission de chaque site vulnérable.
Un site qui répond encore avec une version vulnérable peut être repéré automatiquement. Les protections périphériques ne remplacent donc pas la mise à jour du cœur et des composants qui contrôlent la résolution des pages.
Vérifier le périmètre
Commencez par inventorier la version de WordPress, le thème parent ou enfant et les réglages PHP. Vérifiez aussi les images Docker et les configurations cPanel citées dans les analyses, puis appliquez le correctif correspondant à la branche maintenue.
Conservez une copie des journaux avant nettoyage. Recherchez pagename et page_id dans une même requête, les séquences de traversal encodées, pearcmd, les fichiers PHP apparus dans /tmp ou /var/tmp, les comptes administrateurs ajoutés et les modifications de wp-config.php. Un fichier écrit par l'attaquant doit être traité comme un signe d'exécution de code : préservez les éléments et lancez une réponse à incident, plutôt que de vous limiter à la mise à jour.
Comptes et secrets
Si une tentative crédible est détectée, faites analyser le site avant de supprimer les artefacts. Réinitialisez les comptes administrateurs et faites tourner les clés d'API, accès d'hébergement et mots de passe qui pouvaient être lus par le processus PHP.
Prévenez les personnes qui administrent le site qu'une demande urgente de réinitialisation ou de paiement peut être un suivi de l'incident. La rotation doit être coordonnée avec les journaux et les systèmes qui utilisent réellement chaque secret. Pour gérer les accès partagés pendant cette opération, consultez le guide de partage des mots de passe en équipe et l'audit d'un gestionnaire de mots de passe.
Le lien avec Soclyde
Soclyde ne corrige pas WordPress et ne peut pas déterminer si un site a été compromis. Il aide à générer des secrets uniques, à les conserver dans un coffre chiffré local-first et à retrouver les accès à faire tourner après l'analyse.
Cette organisation réduit les copies dans les tickets, tableurs et conversations. Elle ne remplace ni le correctif WordPress, ni l'examen du code, ni une réponse à incident.
À retenir
CVE-2026-87902 est activement exploitée sous certaines conditions. Installez WordPress 7.1.2 ou le correctif de votre branche, vérifiez les journaux et faites tourner les secrets si une exposition est plausible. Consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
