RCE dans le cœur de WordPress ajoutée au catalogue KEV de la CISA après exploitation active

La CISA confirme l’exploitation de la RCE WordPress CVE-2026-119977; corriger en 7.1.4, chercher les webshells, vérifier CVE-2024-27834.

  • La CISA a ajouté CVE-2026-119977 (CVSS 8,1), une faille d’exécution de code à distance non authentifiée dans le cœur de WordPress, à son catalogue des vulnérabilités exploitées après des preuves d’exploitation active.
  • WordPress 7.1.4 et des correctifs rétroportés corrigent le problème; les consignes disponibles indiquent qu’il faut éliminer les installations de 4.7 à 7.1.3, à vérifier auprès de WordPress pour les branches exactes.
  • Les sites WordPress scolaires et gouvernementaux, y compris les installations multisites, de préproduction et hébergées par des tiers, sont exposés; une compromission peut mener à des webshells, une prise de contrôle administrateur et l’accès aux données.

À faire maintenant

  1. Inventorier immédiatement chaque installation du cœur WordPress, y compris les réseaux multisites, les sites de préproduction, les blogues départementaux et les sites hébergés par des tiers; consigner la version exacte, le responsable et l’exposition Internet.
  2. Appliquer sans délai le correctif du fournisseur : passer à WordPress 7.1.4 ou une version ultérieure, ou installer le correctif rétroporté fourni par WordPress pour les anciennes branches prises en charge; vérifier ensuite la version et retirer ou isoler les installations non prises en charge.
  3. Pendant la mise à jour, ajouter une protection WAF de correctif virtuel pour les surfaces d’administration et de mise à jour de WordPress, restreindre l’accès à wp-admin par IP source ou SSO, imposer le MFA et supprimer les comptes administrateurs inutilisés.
  4. Analyser les journaux Web, applicatifs et d’authentification pour détecter le balayage, des requêtes POST inhabituelles, de nouveaux administrateurs, des modifications de fichiers, des indicateurs de webshell et des connexions sortantes inexpliquées; préserver les preuves avant le nettoyage.
  5. En cas de compromission suspectée, renouveler les salts WordPress, les identifiants administrateur et de base de données, reconstruire à partir de fichiers ou de sauvegardes sains, et suivre la remédiation KEV jusqu’à la confirmation; appliquer la même urgence à CVE-2024-27834 d’Apple sur les postes gérés.

Articles liés