Le 22 septembre 2025, WordPress a publié un correctif de sécurité pour une faille notée 9,2 sur 10. Cette vulnérabilité, référencée CVE-2026-87902, touchait la manière dont le CMS sélectionne les modèles de pages PHP. Dans certaines configurations, un attaquant pouvait déclencher l'exécution de code sur le serveur, sans avoir besoin de se connecter.
Concrètement, ça signifie qu'une personne malveillante pouvait, sous certaines conditions, prendre le contrôle d'un site WordPress simplement en envoyant une requête spécialement conçue. Sans besoin de connexion : juste une URL manipulée.
Pourquoi WordPress est concerné
WordPress propulse environ 43 % de tous les sites web dans le monde. C'est le CMS le plus utilisé, des blogs personnels aux sites d'entreprises. Cette popularité en fait une cible de choix : quand une faille touche WordPress, ce sont potentiellement des millions de sites qui sont exposés. Une situation qui me rappelle d'ailleurs la vulnérabilité critique du plugin Forminator que j'ai couverte en août 2026, qui permettait aussi à n'importe qui d'injecter du code malveillant sur 600 000 sites. L'écosystème WordPress reste clairement une cible.
La vulnérabilité a été découverte par Robert Ressl, un chercheur en sécurité, qui l'a signalée via la plateforme HackerOne. Après la publication du correctif, il a partagé son analyse technique et une preuve de concept réalisée en laboratoire. Il précise bien ne jamais avoir testé cette attaque sur de vrais sites en production.
Le problème en détail
La faille se situe dans une fonction appelée get_page_template(), utilisée par WordPress pour choisir quel fichier PHP afficher quand quelqu'un visite une page. Normalement, ce fichier doit être choisi parmi ceux du thème actif, dans un répertoire bien précis.
Mais à cause de cette vulnérabilité, un attaquant pouvait manipuler les données de la requête pour forcer WordPress à charger un fichier PHP situé ailleurs sur le serveur. Si ce fichier contenait du code malveillant, le serveur l'exécutait avec les droits du compte utilisé par le site web.
L'exploitation dépendait de la configuration du serveur et du thème utilisé. Le chercheur a réussi à démontrer l'attaque en laboratoire, mais il souligne qu'on ne sait pas combien de sites étaient réellement vulnérables dans le monde réel.
- Le correctif est disponible depuis le 22 septembre 2025 dans la version 7.1.2 de WordPress.
- WordPress a également publié des correctifs pour toutes les versions anciennes encore supportées, de la 4.7.37 à la 7.1.2. Si vous utilisez WordPress 4.6 ou une version antérieure, vous ne recevez plus de correctifs de sécurité.
- Des tentatives d'exploitation ont commencé quelques heures après la publication du correctif, selon la société Patchstack. Des attaquants ont essayé de vérifier si les conditions nécessaires étaient présentes, puis ont tenté d'écrire des fichiers PHP malveillants sur les serveurs vulnérables.
- Le CERT-FR a publié un avis le 23 septembre classant cette faille comme une exécution de code arbitraire à distance, et recommande l'application immédiate du correctif.
