Une faille WordPress Core activement exploitée au catalogue KEV de la CISA — et un plugin noté 10,0 à repérer dans les districts

La CISA signale CVE-2026-119977 (WordPress Core) exploitée activement et un plugin noté 10,0 : correctifs et chasse aux indicateurs.

  • La CISA a ajouté CVE-2026-119977, une condition de concurrence de type TOCTOU dans WordPress Core, à son catalogue des vulnérabilités exploitées, le 3 novembre 2026, sur la base de preuves d'exploitation active.
  • Par ailleurs, des attaquants sondent CVE-2026-81648, une faille non corrigée de score CVSS 10,0 dans le plugin WordPress CryptoPayment Gateway pouvant exposer des identifiants de portefeuille, selon Defused Cyber.
  • Tout site WordPress de district, d'école ou de ministère non corrigé peut servir de point d'entrée à une exécution de code à distance non authentifiée, à la pose d'un webshell et au vol d'identifiants — à traiter comme un changement d'urgence.

À faire maintenant

  1. Inventorier chaque instance WordPress exploitée ou parrainée — sites de district, sites d'école, pages de sport et de collecte de fonds, microsites ministériels et blogues oubliés du type TI parallèle — en consignant la version du cœur, les plugins installés, le responsable et l'accessibilité depuis Internet.
  2. Appliquer immédiatement la version corrigée actuelle de WordPress Core à toutes les installations, à titre de changement d'urgence; confirmer la version exacte dans les notes de version de sécurité officielles de WordPress plutôt que de la présumer, et supprimer les répertoires de préparation de mise à niveau résiduels à la racine web.
  3. Pour CryptoPayment Gateway : désactiver et supprimer le plugin s'il n'est pas requis; s'il est requis et qu'aucune version corrigée n'existe, mettre la page de paiement hors ligne et, entre-temps, déployer des règles de pare-feu applicatif ou de correctif virtuel visant CVE-2026-81648 et CVE-2026-119977.
  4. Rechercher des indicateurs de compromission : comptes administrateurs inattendus, fichiers du cœur modifiés, tâches planifiées ou entrées cron inconnues, scripts et redirections injectés, nouvelles connexions sortantes, et requêtes vers des chemins de préparation prévisibles dans les journaux du serveur web autour des fenêtres de mise à niveau.
  5. Réinitialiser les identifiants administrateurs, les mots de passe de bases de données et les sels et clés d'authentification des sites exposés sans correctif, vérifier que les sauvegardes sont saines et restaurables, bloquer WordPress 7.2 bêta 4 sur tous les systèmes de production et signaler toute compromission soupçonnée à votre équipe de sécurité opérationnelle.

Articles liés