Le rapport hebdomadaire de Seckhmet a recensé 285 vulnérabilités WordPress publiées entre le 12 et le 19 octobre. Ce chiffre fait peur et ne dit presque rien. La majorité concerne des extensions confidentielles, ou exige un compte sur le site pour être exploitée. Ce qui compte pour un dirigeant, c'est la poignée de failles qui cumulent trois critères : une extension répandue, une exploitation possible sans compte, et un impact qui va jusqu'à la prise de contrôle du site.
Voici celles d'octobre qui remplissent ces critères, avec la version à atteindre. Si une extension de cette liste figure sur votre site, la mise à jour ne peut pas attendre la prochaine intervention mensuelle.
Prise de contrôle sans compte
- 10Web Booster jusqu'à 2.34.10 : envoi de fichiers arbitraires sans authentification, donc exécution de code (CVE-2026-108587, 9,8 sur 10). Mettre à jour immédiatement ou désactiver l'extension.
- LearnPress jusqu'à 4.4.10 : injection d'objet PHP dans la gestion des sessions de paiement (CVE-2026-104736). Version sûre : 4.4.11. Concerne les sites de formation en ligne.
- Duplicator jusqu'à 1.5.17, et Duplicator Pro jusqu'à 4.6.10 : injection d'objet PHP sans authentification (CVE-2026-82814). L'extension sert souvent une seule fois, lors d'une migration, puis reste installée ; c'est le cas typique d'une extension à supprimer plutôt qu'à mettre à jour.
- Welcart e-Commerce : prise de contrôle de compte, corrigée en 2.12.6.
- Abandoned Cart Pro for WooCommerce jusqu'à 10.8.0 : contournement d'authentification à partir d'un lien de relance de panier (CVE-2026-97657, 9,8 sur 10).
Les extensions que tout le monde a
- LiteSpeed Cache avant 7.9.2 : deux failles de script intersite stockées, exploitables sans compte dans certaines configurations de CDN et d'optimisation des polices (CVE-2026-113499 et 113500). Après la mise à jour, il faut vider le cache, sinon les pages contaminées continuent d'être servies.
- Blocksy Companion jusqu'à 2.1.58, plus de 300 000 sites : sur les boutiques équipées de WooCommerce et Dokan, un visiteur peut créer un compte vendeur même si l'inscription est fermée (CVE-2026-107645). Version sûre : 2.1.59.
- Kirki jusqu'à 6.3.2 : fuite de données de profil des utilisateurs sans authentification. Version sûre : 6.4.0. Kirki est souvent embarquée par un thème, et n'apparaît alors pas toujours dans la liste des extensions.
- FunnelKit : deux failles distinctes, l'une de script intersite déjà exploitée via les champs de commande WooCommerce (jusqu'à 3.16.0.5), l'autre dans FunnelKit Automations qui permet de faire créer un administrateur par un administrateur connecté qui clique sur un lien piégé (corrigée en 3.8.6).
Les extensions de sécurité ne sont pas épargnées
L'ironie du mois : Advanced IP Blocker, une extension de sécurité, permettait jusqu'à la version 8.13.13 de contourner sa propre double authentification. Le code à six chiffres pouvait être deviné sans limite de tentatives et sans connaître le mot de passe (CVE-2026-104732, 9,8 sur 10). Version sûre : 8.13.14. Les tentatives n'étant pas journalisées avant le correctif, il faut aussi passer en revue les connexions administrateur récentes.
Dans un registre voisin, Backuply jusqu'à 1.5.8 permettait une injection SQL lors d'une restauration, à partir d'un simple compte abonné. Sur un site qui autorise l'inscription libre, la nuance « compte requis » ne protège pas grand-chose.
Comment trier sans lire 285 avis
Personne ne lit 285 avis par semaine, et ce n'est pas nécessaire. La méthode que nous appliquons tient en quatre questions, dans cet ordre :
- L'extension est-elle installée ? Y compris désactivée, y compris embarquée dans le thème. Une extension désactivée n'exécute pas son code dans la plupart des cas, mais ses fichiers restent accessibles.
- L'exploitation exige-t-elle un compte ? Si la réponse est non, la faille passe en tête de file.
- L'impact dépasse-t-il l'affichage ? Exécution de code, création d'administrateur, fuite de données : traitement immédiat. Script intersite : traitement rapide, surtout sur une boutique.
- L'extension sert-elle encore ? Duplicator, un outil d'import utilisé une fois, une galerie remplacée depuis : la meilleure mise à jour est la suppression.
Ce tri prend quelques minutes quand l'inventaire des extensions de chaque site est tenu à jour. Il est impossible quand personne ne sait ce qui est installé, situation que nous décrivons dans êtes-vous concerné par une faille WordPress.
Ce que couvre le contrat
Sur les sites que nous maintenons, cette veille est faite chaque jour à partir des bases Wordfence et Patchstack, croisées avec l'inventaire des extensions de chaque site. Une faille critique sans authentification déclenche une mise à jour dans la journée, précédée d'une sauvegarde et suivie d'une vérification des pages clés. Le reste suit le rythme habituel.
C'est le cœur de la maintenance WordPress à 500 HT / an, avec un rapport mensuel qui liste ce qui a été mis à jour et pourquoi. Le détail des failles est consultable dans le rapport hebdomadaire Seckhmet. Ce mois-ci, la faille la plus large ne venait d'ailleurs pas d'une extension : c'est php2shell, dans PHP lui-même.
À retenir
Octobre a apporté une dizaine de failles critiques exploitables sans compte dans des extensions répandues : 10Web Booster, LearnPress, Duplicator, LiteSpeed Cache, Blocksy Companion, Kirki, FunnelKit, Advanced IP Blocker. Vérifiez leur présence, y compris dans le thème, mettez à jour vers les versions indiquées et supprimez les extensions qui ne servent plus. Le volume de failles publiées n'a pas d'importance ; seul compte ce qui est installé chez vous.
Vous voulez savoir si votre site est concerné ? Envoyez-nous son adresse, nous croisons ses extensions avec la liste du mois.