- Plusieurs failles graves ont été découvertes dans WordPress, dont une permettant à un attaquant de prendre le contrôle de votre site à distance.
- Une injection SQL est également en jeu : des données de votre base (clients, commandes, mots de passe) pourraient être exposées ou modifiées.
- Une preuve de concept est déjà disponible publiquement, ce qui augmente le risque d’exploitation rapide.
Ce qui se passe concrètement
Le CERT-FR a publié le 20 juillet 2026 un avis signalant plusieurs vulnérabilités dans WordPress, le système de gestion de contenu utilisé par une très grande majorité de sites web de PME en France.
Trois types d’attaques sont rendus possibles par ces failles :
- Exécution de code à distance : un attaquant peut faire tourner du code malveillant sur votre serveur, sans y avoir accès physiquement. Concrètement, cela peut mener à une prise de contrôle complète du site.
- Injection SQL : des commandes malveillantes peuvent être envoyées à votre base de données. Résultat possible : vol ou destruction de données (contacts clients, historique de commandes, identifiants…).
- Contournement de la politique de sécurité : certaines protections en place sur votre site peuvent être ignorées par l’attaquant, lui ouvrant des portes normalement fermées.
Beaucoup de propriétaires de sites WordPress repoussent les mises à jour pour éviter de « casser » leur site. C’est compréhensible, mais dans ce cas précis, une preuve de concept circule déjà publiquement : les attaquants ont donc un mode d’emploi entre les mains. Chaque jour sans mise à jour est un jour de risque supplémentaire.
Pourquoi c’est particulièrement urgent cette fois
Le CERT-FR précise avoir connaissance d’une preuve de concept publique. Cela signifie qu’un code démontrant comment exploiter ces failles a déjà été rendu public. Des attaquants, même peu expérimentés, peuvent s’en servir pour cibler des sites non mis à jour. Ce détail fait passer ce bulletin d’un niveau de vigilance ordinaire à une priorité immédiate.
Si vous confiez la gestion de votre site à une agence web ou un prestataire, contactez-les dès aujourd’hui pour vous assurer que la mise à jour a bien été effectuée. Demandez-leur une confirmation écrite : c’est une bonne habitude en cas de question de responsabilité.
Ce qu’il faut faire concrètement
Connectez-vous au tableau de bord de votre site WordPress et vérifiez si une mise à jour est disponible dans la section Tableau de bord > Mises à jour. Appliquez-la sans délai. Si possible, faites d’abord une sauvegarde complète du site. Si vous n’avez pas la main sur votre site, transmettez cet article à votre prestataire et demandez-lui de traiter la mise à jour en urgence. Consultez l’avis officiel du CERT-FR pour suivre les évolutions : CERTFR-2026-AVI-0904.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.