Faille de sécurité WordPress : les comprendre, savoir si votre site est exposé et les corriger

Qu'est-ce qu'une faille de sécurité WordPress ?

Une faille de sécurité, ou vulnérabilité, est un défaut dans le code qui permet de faire ce que le programme n'était pas censé autoriser : lire une donnée protégée, exécuter une commande, créer un compte administrateur, déposer un fichier. Elle n'est pas un piratage en soi, elle en est la porte d'entrée : tant que personne ne l'a franchie, rien ne se voit. Trois notions reviennent dans toutes les alertes :

• CVE : identifiant unique d'une vulnérabilité publiée (par exemple CVE-2026-14894), le même chez Wordfence, Patchstack ou WPScan.
• CVSS : score de gravité de 0 à 10 ; à partir de 9, la faille est critique et s'exploite en général sans compte.
• Authentification requise : une faille « non authentifiée » s'exploite depuis n'importe où ; une faille « contributeur » ou « abonné » exige un compte.

Les familles de failles WordPress, avec leurs définitions

XSS (cross-site scripting)

L'OWASP définit le XSS comme une injection « dans laquelle des scripts malveillants sont injectés dans des sites web par ailleurs sains et de confiance » : du JavaScript placé dans un champ que l'extension réaffiche sans le nettoyer, exécuté ensuite dans le navigateur des visiteurs ou d'un administrateur connecté, dont il peut voler le cookie de session. D'après Patchstack, le XSS représentait « près de la moitié » des vulnérabilités enregistrées en 2024. Notre article sur l'attaque XSS détaille les variantes.

Injection SQL (SQLi)

L'injection SQL « consiste en l'insertion d'une requête SQL via les données d'entrée envoyées du client à l'application » (OWASP) : un paramètre de recherche ou de tri passe dans une requête sans être préparé, et l'attaquant y ajoute ses instructions, pour lire wp_users et ses mots de passe hachés ou modifier wp_options. La faille CVE-2025-2011 de Depicter Slider en est un exemple récent ; voir notre guide sur l'injection SQL sur WordPress.

CSRF (cross-site request forgery)

Le CSRF « force un utilisateur à exécuter des actions non désirées sur une application dans laquelle il est authentifié » (OWASP) : un administrateur connecté visite une page piégée, qui envoie en son nom une requête vers wp-admin. WordPress fournit les « nonces » pour l'empêcher ; la faille apparaît quand une extension oublie de les vérifier. L'OWASP prévient : « si la victime est un compte administrateur, le CSRF peut compromettre toute l'application ».

Upload de fichier arbitraire

Une extension accepte un fichier envoyé par un formulaire sans vérifier son type ; l'attaquant dépose un fichier PHP dans wp-content/uploads/ et l'appelle depuis son navigateur : c'est un « web shell », un terminal à distance sur votre serveur. L'OWASP résume : « la première étape de beaucoup d'attaques est de faire entrer du code dans le système visé ».

Escalade de privilèges et contrôle d'accès défaillant

Le « broken access control » occupe la première place du Top 10 OWASP 2021 : « les échecs conduisent typiquement à la divulgation, la modification ou la destruction non autorisées de données, ou à l'exécution d'une fonction hors des limites de l'utilisateur ». L'escalade de privilèges, où un anonyme devient administrateur, en est le cas le plus grave. Patchstack indique que 57 % des attaques bloquées par ses règles en 2025 visaient du contrôle d'accès défaillant, et 20 % de l'escalade de privilèges.

IDOR (référence directe non sécurisée)

L'application expose un identifiant (commande, facture, utilisateur) sans vérifier que le demandeur y a droit. L'OWASP donne l'exemple d'une URL /users/123 : « si un attaquant change ce nombre en 124 et accède aux informations d'un autre utilisateur, l'application est vulnérable ».

LFI et RFI (inclusion de fichier)

L'inclusion de fichier local est « le processus d'inclusion de fichiers déjà présents sur le serveur, en exploitant des procédures d'inclusion vulnérables » (guide de test OWASP) : un paramètre qui désigne un gabarit accepte des ../, et l'attaquant fait lire wp-config.php ou exécuter un fichier déposé sous une fausse extension d'image. L'inclusion distante (RFI) charge un fichier depuis un serveur externe. La faille CVE-2025-2294 de Kubio AI Page Builder était une LFI non authentifiée.

Où se trouvent réellement les failles : extensions, thèmes, cœur

Deux rapports annuels de Patchstack donnent la mesure du problème, en comptant les vulnérabilités publiées avec un identifiant CVE, tous éditeurs confondus.

Failles de l'année	Total publié	Extensions	Thèmes	Cœur WordPress	Sans correctif à la divulgation
2024 (rapport 2025)	7 966	96 %	4 %	7, aucune jugée dangereuse	33 %
2025 (rapport 2026)	11 334, soit + 42 %	91 %	9 %	6, toutes de faible priorité	46 % (extensions premium)

Le cœur n'est donc pas le problème : relu par une équipe de sécurité dédiée et corrigé par mises à jour automatiques, il ne connaît que des failles mineures ; le risque est dans les extensions et les thèmes. Le rapport 2026 ajoute :

• 1 966 vulnérabilités (17 %) étaient de haute sévérité, « plus qu'au cours des deux années précédentes réunies » ;
• la moitié des failles à fort impact ont été exploitées dans les 24 heures, avec un délai médian de cinq heures pour les plus visées ;
• les hébergeurs n'ont bloqué que 12 % des tentatives visant des failles exploitées.

Comment savoir si votre site est exposé à une faille

Un site est exposé quand il contient un composant dont la version est listée comme vulnérable et non corrigée. Il s'agit donc de comparer vos extensions et leurs versions aux bases de vulnérabilités. Quatre outils le font.

• Base WPScan : la référence historique, reprise par Jetpack Protect (gratuit) ; l'extension WPScan elle-même (clé API gratuite, 25 requêtes par jour) n'est plus maintenue pour les particuliers.
• Wordfence (plus de 5 millions d'installations) : son scanner compare vos versions à sa base et signale les extensions abandonnées ou retirées du répertoire.
• Patchstack (60 000 installations) : détection gratuite avec alerte par email ; le blocage automatique (vPatching) est payant.
• Google Search Console, rapport « Problèmes de sécurité » : il ne signale pas une faille mais son exploitation (contenu piraté, redirection, logiciel malveillant).

Avec WP-CLI, la vérification prend une minute :

# Extensions installées, version et mise à jour disponible
wp plugin list --fields=name,status,version,update_version

# Thèmes, y compris ceux qui sont installés mais inactifs
wp theme list --fields=name,status,version,update_version

# Le cœur est-il intact ? Un fichier modifié est suspect
wp core verify-checksums

Méfiez-vous d'une extension que son auteur n'a pas mise à jour depuis plus d'un an, d'une extension marquée « fermée » sur WordPress.org (le répertoire en a retiré 1 614 en 2024 faute de correctif), et d'un thème ou d'une extension « nulled » téléchargé hors des canaux officiels. Notre comparatif des scanners de vulnérabilités WordPress détaille chaque outil, et nos bilans mensuels (avril 2026, mai 2026) listent les failles critiques du mois avec les versions à installer.

Comment corriger une faille de sécurité WordPress

Dans l'ordre d'efficacité :

Mettre à jour, et automatiser les mises à jour

C'est la seule vraie correction : le code fautif est remplacé. Depuis WordPress 5.5, chaque extension et chaque thème dispose d'un lien « Activer les mises à jour automatiques » ; WordPress les exécute deux fois par jour et envoie un email en cas d'échec. Activez-les au moins sur les extensions exposées (formulaires, constructeurs de pages, commerce en ligne, sauvegarde).

Supprimer ce qui n'est pas utilisé

Une extension désactivée reste un ensemble de fichiers PHP accessibles sur le serveur, et certaines failles s'exploitent sans qu'elle soit active. Supprimez les extensions et thèmes inutilisés (gardez un thème par défaut de secours) et remplacez les extensions abandonnées par un équivalent maintenu.

Bloquer l'exploitation sans correctif : le virtual patching

Quand le correctif n'existe pas encore, un pare-feu applicatif peut refuser les requêtes qui correspondent à l'exploit. L'OWASP appelle cela un correctif virtuel : « une couche d'application de politique de sécurité qui empêche et signale la tentative d'exploitation d'une vulnérabilité connue ». Patchstack le décrit ainsi : « cela empêche les composants vulnérables d'être exploités sans modifier le code du site ». C'est une réduction du risque, pas une réparation.

Réduire les dégâts possibles

Quelques réglages du guide de durcissement de WordPress limitent ce qu'un attaquant obtient d'une faille :

// wp-config.php : interdit l'édition de fichiers PHP depuis le tableau de bord
define( 'DISALLOW_FILE_EDIT', true );

• permissions 644 pour les fichiers et 755 pour les dossiers, wp-config.php en 400 ou 440 ;
• un seul compte administrateur réellement utilisé, inscriptions fermées si elles ne servent pas ;
• authentification à deux facteurs et mot de passe unique par compte, car une faille se combine souvent à une attaque par force brute ;
• PHP à jour, et exécution de PHP interdite dans wp-content/uploads/.

Les failles WordPress majeures de 2025 et 2026

Ces failles, vérifiées dans les avis de Wordfence et de Patchstack, ont été exploitées à grande échelle ou touchent des extensions très répandues. Si l'une d'elles est installée chez vous dans une version antérieure à celle indiquée, considérez le site comme potentiellement compromis et suivez notre guide pour nettoyer un site WordPress piraté.

Composant	CVE	Type de faille	Versions touchées	Corrigée en	Ce qui est documenté
OttoKit (ex-SureTriggers)	CVE-2025-27007	Escalade de privilèges, sans authentification	1.0.82 et antérieures	1.0.83	100 000+ installations ; création d'un administrateur ; CVSS 9.8
Depicter Slider	CVE-2025-2011	Injection SQL, sans authentification	3.6.1 et antérieures	3.6.2	Plus de 100 000 installations ; CVSS 9.3
Kubio AI Page Builder	CVE-2025-2294	Inclusion de fichier local, sans authentification	2.5.1 et antérieures	2.5.2, première version hors de la plage vulnérable	80 000 installations ; CVSS 9.8
Everest Forms Pro	CVE-2026-3300	Exécution de code à distance via eval(), sans authentification	1.9.12 et antérieures	1.9.13 (18 mars 2026)	Exploitée depuis le 13 avril 2026 ; 29 300 tentatives bloquées par Wordfence
Super Forms	CVE-2026-14894	Upload de fichier arbitraire, sans authentification	6.3.313 et antérieures	6.3.314 (8 juillet 2026)	CVSS 9.8 ; exploitée depuis le 14 juillet ; plus de 250 000 tentatives bloquées par Wordfence
Elementor Pro	CVE-2026-32475	Upload de fichier via formulaire, validation insuffisante	4.2.1 et antérieures	4.2.2 (19 août 2026)	Exploitée le jour du correctif ; près de 200 000 tentatives bloquées
All-in-One WP Migration and Backup	CVE-2026-19949	Injection SQL de second ordre, à la restauration d'une sauvegarde	7.109 et antérieures	7.110 (20 août 2026)	5 millions+ d'installations ; 35 % mises à jour au 2 septembre 2026 ; exige la restauration d'une archive piégée

Six de ces sept failles s'exploitent sans aucun compte, et la plupart touchent des extensions de formulaire ou de construction de pages : ce sont celles à surveiller en priorité.

Sources

• Patchstack : State of WordPress Security in 2026 (25 février 2026), State of WordPress Security in 2025 (14 mars 2025), Q3 2025's Most Exploited WordPress Vulnerabilities (30 septembre 2025), fiche CVE-2025-2011 (5 mai 2025)
• CVE-2025-27007, Tenable ; CVE-2025-2294, GitHub Advisory Database ; Kubio AI Page Builder <= 2.5.1, Pentest-Tools
• The Hacker News, d'après Wordfence : Everest Forms Pro (5 juin 2026), Super Forms et Elementor Pro (4 septembre 2026)
• BleepingComputer : Elementor Pro (3 septembre 2026), All-in-One WP Migration (2 septembre 2026)
• OWASP : A01:2021 Broken Access Control, XSS, SQL Injection, CSRF, Unrestricted File Upload, Testing for Local File Inclusion, IDOR Prevention et Virtual Patching
• WordPress.org : Security, Hardening WordPress (7 janvier 2026), Plugin and themes auto-updates (13 janvier 2023) ; fiches Wordfence, Patchstack, WPScan, Kubio (6 septembre 2026)
• Security Issues report, Google Search Console Help