CISA inscrit une faille WordPress d’exécution de code à distance activement exploitée à son catalogue de vulnérabilités connues

L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté le 3 novembre 2026 la vulnérabilité CVE-2026-119977 à son catalogue des vulnérabilités exploitées activement (Known Exploited Vulnerabilities Catalog), enjoignant les agences fédérales civiles à corriger leurs systèmes sous trois jours ouvrés, conformément à la directive opérationnelle contraignante BOD 26-04. Cette faille de sévérité élevée, corrigée dans WordPress 7.1.4 publié le 28 octobre, réside dans le processus de mise à jour du cœur de WordPress. Elle découle d’une condition de course de type Time-of-check Time-of-use (TOCTOU) qui permet à un attaquant distant, sans privilèges, d’exécuter du code arbitraire sur le serveur lors de la fenêtre de mise à jour, en tirant parti de chemins de mise en scène prévisibles et accessibles depuis le web.

Le chercheur Umut Bayram, de Picus Security, a signalé la vulnérabilité. L’équipe de sécurité de WordPress la qualifie de « faiblesse dans le processus de mise à jour de WordPress qui peut mener à une exécution de code à distance pendant la fenêtre de mise à jour » et recommande une mise à jour immédiate, la version 7.1.4 étant une mise à jour de sécurité. Bien que la directive BOD 26-04 ne s’adresse qu’aux agences fédérales américaines, la CISA exhorte l’ensemble des défenseurs de réseaux, y compris dans le secteur privé, à prioriser le correctif.

La société spécialisée Wordfence a rapporté avoir bloqué 13 095 tentatives d’exploitation de cette faille dans les 24 heures suivant son ajout au catalogue KEV, confirmant l’activité malveillante en cours. L’exploitation nécessite une complexité élevée en raison des conditions de course, mais la prévisibilité des chemins de staging pendant la mise à jour complète du cœur offre une surface d’attaque concrète aux acteurs de menace.

Cet épisode s’inscrit dans une série de vulnérabilités critiques touchant WordPress Core. En juillet 2026, la chaîne de failles baptisée « wp2shell » – combinant une confusion de route REST API par lots (CVE-2026-63030) et une injection SQL (CVE-2026-60137) – avait permis le déploiement de webshells et la prise de contrôle de serveurs non corrigés. Des exploits publics étaient apparus dès le lendemain de la publication des correctifs, et des compromissions avaient été observées quelques jours plus tard. Un acteur de menace sinophone avait ensuite armé cette chaîne en septembre pour dérober des données sensibles de plus de 18 500 enregistrements stockés dans les bases de données backend de petites entreprises et d’organisations gouvernementales.

La récurrence de ces incidents souligne l’importance critique de maintenir les installations WordPress à jour, notamment en activant les mises à jour automatiques de sécurité, et de surveiller les journaux d’accès pour détecter toute activité anormale pendant les fenêtres de mise à jour.

Sources : BleepingComputer, CISA KEV Catalog, Wordfence Advisory