Mises à jour WordPress : ce que 2026 nous apprend sur les sites oubliés

Un site WordPress mis en ligne il y a trois ans, auquel personne n'a touché depuis « parce qu'il fonctionne ». C'est le scénario qu'on rencontre le plus souvent chez les PME. C'est aussi exactement ce que les pirates cherchent.

Les chiffres de Patchstack, qui recense les failles de l'écosystème WordPress, donnent le ton : 11 334 nouvelles vulnérabilités découvertes en 2025, une hausse de 42 % en un an, dont 91 % dans des extensions. Pour les failles les plus ciblées, l'exploitation massive commence en médiane 5 heures après leur divulgation publique (résumé en français du rapport Patchstack 2026 · rapport complet, en anglais).

Cinq heures. Pas cinq semaines.

Un site WordPress n'est jamais « terminé »

Un site WordPress est un assemblage : le cœur de WordPress, un thème et une série d'extensions (formulaires, constructeur de pages, SEO, boutique, sauvegarde…). Chaque morceau est maintenu par une équipe différente, et chacun peut contenir une faille qui sera découverte demain.

Quand une faille est corrigée, le correctif devient public. Les attaquants comparent l'ancienne et la nouvelle version, comprennent ce qui a été réparé, puis lancent des robots qui balaient Internet à la recherche des sites qui ne l'ont pas encore appliqué. Personne ne « choisit » votre site : il est simplement trouvé, parce qu'il répond à une requête automatisée.

WordPress le rappelle d'ailleurs dans chacune de ses notes de version de sécurité : seule la version la plus récente est activement supportée (note de version 7.1.2, en anglais).

2026 : une année chargée pour WordPress

Entre le 17 juillet et le 6 octobre, WordPress a publié six versions de sécurité de son cœur : 7.0.2, 7.0.3, 7.0.4, 7.1.1, 7.1.2 et 7.1.3. Pendant ce temps, plusieurs extensions populaires ont eu leur lot de failles critiques. Voici les incidents qui ont marqué l'année.

Juillet : wp2shell, une faille dans le cœur même de WordPress

Le 17 juillet, WordPress publie la version 7.0.2 pour corriger une chaîne de deux failles surnommée wp2shell. Sa particularité : elle touche le cœur de WordPress lui-même. Aucune extension vulnérable n'est nécessaire et l'attaquant n'a pas besoin de compte. Une installation standard de WordPress 6.9 ou 7.0 suffit pour qu'un inconnu exécute du code sur le serveur (IT-Connect).

La situation est assez grave pour que WordPress active des mises à jour forcées sur les sites concernés. Dans les jours qui suivent :

• des preuves de concept circulent publiquement;
• le CERT-FR publie une alerte et anticipe des tentatives d'exploitation en masse (alerte CERTFR-2026-ALE-007);
• le Centre canadien pour la cybersécurité confirme que les deux failles sont exploitées (bulletin AV26-723);
• en France, Cybermalveillance.gouv.fr déclenche une AlerteCyber, un dispositif réservé aux menaces jugées critiques (AlerteCyber du 23 juillet 2026).

Le détail qui compte : une mise à jour forcée n'atteint que les sites dont les mises à jour automatiques fonctionnent. Mises à jour désactivées, permissions de fichiers trop strictes, déploiement personnalisé… IT-Connect le soulignait : rien ne garantit que le correctif est passé, il faut le vérifier site par site.

Août : près de 2 000 sites négligés transformés en arme

En août, Check Point Research dévoile StopAndProtect, une opération criminelle qui repose sur près de 2 000 sites WordPress piratés (rapport de Check Point Research, en anglais). Les visiteurs de ces sites voyaient un faux CAPTCHA qui leur demandait de copier-coller une commande sur leur ordinateur Windows. Résultat : vol de fichiers, captures d'écran et, dans certains cas, rançongiciel. Les sites piratés servaient aussi d'infrastructure : hébergement des logiciels malveillants, serveurs de commande, stockage des données volées.

Selon les chercheurs, la plupart de ces sites roulaient des versions périmées de WordPress et de leurs extensions. L'un d'eux utilisait une version de WordPress datant de 2021, exposée à une quarantaine de vulnérabilités connues. Check Point présente ces sites mal entretenus comme la base de toute l'opération.

Comme le faux CAPTCHA ne s'affichait qu'aux visiteurs sous Windows, bien des propriétaires ne se sont probablement rendu compte de rien. Leur site n'était pas seulement une victime : il infectait leurs propres clients.

Septembre : une deuxième faille critique du cœur, attaquée en quelques heures

Le 22 septembre, WordPress 7.1.2 corrige la CVE-2026-87902, une faille dans la gestion des modèles de page qui peut mener, sous certaines conditions, à l'exécution de code à distance sans authentification. Selon Patchstack, les premières tentatives d'exploitation sont apparues quelques heures après la publication de la mise à jour (Le Monde Informatique). Le 25 septembre, le Centre canadien pour la cybersécurité confirmait l'exploitation active (bulletin AV26-952).

Bonne nouvelle : le correctif a été rétroporté jusqu'à WordPress 4.7. Même un site vieux de plusieurs années pouvait être protégé… à condition que quelqu'un applique la mise à jour. Les versions 4.6 et antérieures, elles, ne reçoivent plus aucun correctif.

Quand la menace arrive par une extension de confiance

Un autre type d'incident a pris de l'ampleur cette année : les attaques par la chaîne d'approvisionnement, où c'est l'extension elle-même, ou son éditeur, qui est compromise.

• Avril : plus d'une trentaine d'extensions de la suite Essential Plugin, rachetées par un nouveau propriétaire, contenaient une porte dérobée restée dormante pendant huit mois. Une fois activée, elle injectait du spam SEO montré seulement à Googlebot, donc invisible pour les propriétaires des sites. WordPress.org a retiré les extensions et forcé une mise à jour, mais celle-ci ne nettoyait pas le fichier wp-config.php déjà infecté (Génération-NT).
• Octobre : le 19 octobre, le média spécialisé IT-Connect a découvert qu'une extension malveillante avait été installée sur son propre site. La porte d'entrée : une clé de connexion UpdraftCentral (un service lié à l'extension de sauvegarde UpdraftPlus) créée en 2020 et oubliée depuis, utilisée par un attaquant après une intrusion chez l'éditeur (IT-Connect).

Ces incidents ne sont pas une raison d'arrêter les mises à jour. Ils montrent plutôt qu'un site a besoin de quelqu'un qui surveille : qui sait ce qui est installé, retire ce qui ne sert plus, suit les avis de sécurité et vérifie le site après chaque intervention.

Les failles importantes des derniers mois

Voici une sélection de failles publiées depuis juin 2026, toutes corrigées par leur éditeur. Si l'un de ces composants est installé sur votre site, vérifiez sa version.

Dans la plupart des cas, le correctif existait avant les attaques, parfois depuis des mois : WooCommerce Wholesale Lead Capture était corrigée depuis février quand les vagues d'attaques ont frappé l'été suivant. Mais l'écart se compte aussi en heures : Elementor Pro a été attaquée le jour même de la sortie de son correctif, et le cœur de WordPress quelques heures après la version 7.1.2. Un site mis à jour « quand on aura le temps » arrive presque toujours trop tard.

Ce que coûte vraiment un site oublié

Un site piraté, ce n'est pas seulement une page d'accueil défigurée. Les conséquences les plus courantes :

• Des visiteurs infectés, comme avec StopAndProtect, et votre réputation avec eux.
• Un site signalé comme dangereux par Google et les navigateurs, ce qui fait chuter le trafic du jour au lendemain.
• Du spam SEO caché qui ruine votre référencement, sans que vous le voyiez.
• Des identifiants volés : clés API, accès aux services de courriel, comptes clients. Dans le cas de Gravity SMTP, la mise à jour ferme la porte, mais elle ne révoque pas les clés déjà volées : il faut les régénérer une par une (Clubic).
• Des obligations légales : si l'intrusion touche des renseignements personnels (formulaires, comptes clients, commandes), la Loi 25 vous oblige à consigner l'incident dans un registre et, s'il présente un risque de préjudice sérieux, à aviser la Commission d'accès à l'information et les personnes concernées (Commission d'accès à l'information).
• Un nettoyage d'urgence, toujours plus stressant et plus coûteux qu'une mise à jour planifiée.

« J'ai activé les mises à jour automatiques, ça suffit? »

C'est un bon début, et on recommande de garder les mises à jour automatiques du cœur activées. Mais elles ne couvrent pas tout :

• Elles ne passent pas toujours. La mise à jour forcée de wp2shell n'a pas atteint les sites aux mises à jour désactivées ou mal configurées.
• Les extensions premium dépendent d'une licence. Elementor Pro, Bricksforge ou Gravity SMTP ne se mettent à jour que si la licence est active. Licence expirée, plus de correctifs.
• Une mise à jour peut briser le site. Une extension incompatible peut faire tomber un formulaire, une page ou le paiement d'une boutique. Sans sauvegarde ni test, on le découvre quand un client appelle.
• Certaines failles n'ont pas de correctif. Selon Patchstack, 46 % des failles découvertes en 2025 n'avaient aucun correctif au moment de leur divulgation. Une extension abandonnée doit être repérée et remplacée.
• Personne ne lit les avis de sécurité. Une mise à jour automatique ne vous dira pas qu'une clé de connexion oubliée ouvre votre site, ni qu'il faut régénérer des clés volées.

Une routine de maintenance qui tient la route

1. Faire l'inventaire : extensions, thèmes, versions, licences. Supprimer ce qui est désactivé ou inutile, car une extension désactivée reste présente sur le serveur.
2. Sauvegarder les fichiers et la base de données avant chaque lot de mises à jour.
3. Mettre à jour régulièrement, pas aux six mois, et rapidement quand une faille critique exploitée est annoncée.
4. Tester après chaque mise à jour : pages clés, formulaires, paiement.
5. Garder un retour arrière (rollback) prêt si quelque chose casse.
6. Revoir les accès : comptes administrateurs, clés de connexion de services tiers, mots de passe.
7. Suivre les avis de sécurité, par exemple ceux du Centre canadien pour la cybersécurité.

Pour aller plus loin : ce qu'un forfait de maintenance WordPress doit inclure.

On peut s'en occuper pour vous

Chez webO3, la mise à jour WordPress est un service à part entière, pensé pour ne jamais casser votre site :

• Staging + QA : les mises à jour sont appliquées et vérifiées sur une copie du site avant d'arriver en production. Recommandé pour les sites critiques et les boutiques en ligne.
• Direct + vérifications : sauvegarde complète, mises à jour en production, tests automatiques immédiats et rollback au moindre problème. Idéal pour les sites simples.
• Maintenance mensuelle, à partir de 50 $/mois : mises à jour récurrentes, surveillance continue et rapport mensuel. Vous n'avez plus à y penser ni à craindre d'accumuler du retard.

Votre site n'a pas été mis à jour depuis un moment? Parlez-nous de votre site (thème, extensions importantes, date de la dernière mise à jour) : on vous revient avec un devis en moins de 8 h ouvrables.

Demander un devis · Forfaits maintenance

Déjà piraté? Désinfection WordPress · Urgence WordPress