- WordPress a corrigé le 17 juillet 2026 deux failles de sécurité importantes qui peuvent être exploitées ensemble.
- Un attaquant pourrait combiner ces deux vulnérabilités pour compromettre votre site.
- La mise à jour de WordPress est la seule parade efficace : elle doit être faite dès que possible.
Ce qui se passe
Le 17 juillet 2026, l’équipe WordPress a publié un correctif de sécurité couvrant deux vulnérabilités identifiées :
- CVE-2026-60137 : une injection SQL, c’est-à-dire qu’un attaquant peut envoyer des commandes malveillantes à votre base de données via votre site.
- CVE-2026-63030 : un contournement de politique de sécurité, qui permet de passer outre certaines protections normalement en place sur votre WordPress.
Ce qui rend cette situation particulièrement préoccupante, c’est que ces deux failles peuvent être utilisées en combinaison. L’une ouvre la porte, l’autre permet d’aller plus loin. Le CERT-FR, l’organisme gouvernemental français de veille sur les cybermenaces, a émis une alerte officielle à ce sujet.
Beaucoup de gérants de PME pensent que leur site est « trop petit » pour intéresser des attaquants. En réalité, les cyberattaques visant WordPress sont très souvent automatisées : des robots parcourent le web à la recherche de sites non mis à jour, quelle que soit leur taille.
Qui est concerné ?
Toute entreprise dont le site web tourne sous WordPress est potentiellement concernée, qu’il s’agisse d’un site vitrine, d’une boutique en ligne ou d’un blog professionnel. Si vous ne savez pas quelle version de WordPress vous utilisez, votre prestataire web ou votre hébergeur peut vous le confirmer en quelques minutes.
Activez les mises à jour automatiques de WordPress si ce n’est pas encore fait. Cette option, disponible dans le tableau de bord WordPress, vous protège automatiquement lors de futures corrections de sécurité, sans intervention de votre part.
Ce qu’il faut faire concrètement
Connectez-vous dès aujourd’hui à l’administration de votre site WordPress et vérifiez si une mise à jour est disponible (menu Tableau de bord > Mises à jour). Si vous passez par un prestataire ou un hébergeur qui gère votre site, contactez-le pour lui demander d’appliquer le correctif publié le 17 juillet 2026. N’attendez pas : ce type de faille est rapidement exploité une fois rendu public. Pour plus de détails techniques, consultez l’alerte officielle du CERT-FR : CERTFR-2026-ALE-007.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.