Faille WordPress : votre site est-il protégé ?

Quand avez-vous vérifié pour la dernière fois la version de WordPress affichée dans votre tableau de bord ? Si votre réponse est « je ne sais pas » ou « il y a plusieurs mois », cet article vous concerne directement.

En tant que freelance WordPress en Alsace, entre Strasbourg, Haguenau et le Kochersberg, vérifier ce genre de détail fait partie de mon travail de maintenance : chaque semaine, en silence, pour mes clients. Cet été, cette vérification de routine a soudain pris beaucoup plus d’importance. Une faille WordPress critique a touché le cœur du logiciel lui-même, pas un plugin tiers comme d’habitude.

Dans cet article, vous allez comprendre ce qui s’est passé, pourquoi cette faille WordPress est différente des alertes de sécurité habituelles, et surtout comment vérifier vous-même, en quelques minutes, si votre site est concerné.

Commençons par les faits.

Ce qui s’est passé : une faille WordPress dans le cœur même du logiciel

Le 17 juillet 2026, l’équipe de WordPress a publié en urgence la version 7.0.2, une mise à jour de sécurité corrigeant deux vulnérabilités critiques repérées dans le cœur du logiciel, pas dans une extension ou un thème tiers.

En résumé, pour qui n’est pas développeur : la première faille (CVE-2026-60137) permettait d’injecter des instructions dans la base de données du site via un paramètre mal filtré. La seconde (CVE-2026-63030) exploitait une confusion dans le fonctionnement de l’API REST de WordPress, la partie du logiciel qui permet à d’autres services de communiquer avec votre site. Combinées, ces deux failles permettaient à un attaquant d’exécuter du code sur un site WordPress sans avoir besoin du moindre mot de passe, via une simple requête envoyée depuis l’extérieur.

Les versions concernées : toute installation antérieure à la 6.8.6, à la 6.9.5 ou à la 7.0.2. Face à la gravité du problème, l’équipe WordPress a fait un choix rare : déclencher une mise à jour automatique forcée pour tous les sites qui autorisent les mises à jour en arrière-plan, sans attendre que chaque administrateur clique lui-même sur « Mettre à jour ».

Pourquoi cette faille WordPress n’est pas comme les autres

Si vous avez déjà lu un article sur la sécurité WordPress, vous avez probablement croisé cette statistique : la grande majorité des failles de l’écosystème WordPress proviennent des extensions et des thèmes, très peu du cœur du logiciel lui-même (source : WPScan, 2026). J’en parle en détail dans mon article sur la sécurité de WordPress en entreprise →.

C’est précisément ce qui rend la faille WordPress de juillet inhabituelle : elle touchait le cœur du logiciel, ce qui signifie qu’aucun choix de plugin n’aurait pu vous en protéger. Un site minimaliste, sans aucune extension, avec seulement WordPress et un thème, était tout aussi exposé qu’un site chargé de dizaines d’extensions. La seule chose qui faisait la différence, c’était la rapidité de la mise à jour.

L’agence américaine de cybersécurité CISA a d’ailleurs ajouté ces deux vulnérabilités à son catalogue des failles activement exploitées, imposant un délai de correction accéléré aux administrations fédérales concernées. Un signal fort : quand une agence gouvernementale impose une échéance serrée, c’est que l’exploitation n’était plus théorique, mais déjà observée sur le terrain.

Ce n’est pas un cas isolé : la leçon de la faille WPvivid en janvier

Six mois plus tôt, en janvier 2026, c’est un plugin de sauvegarde très répandu, WPvivid Backup & Migration, qui avait fait les gros titres : une faille critique exposait plus de 800 000 sites à une prise de contrôle à distance, via un mécanisme destiné à l’origine à transférer des sauvegardes entre sites. Ironie de la situation : l’outil censé protéger le site était devenu la porte d’entrée.

Le problème a été corrigé en quelques jours par l’éditeur du plugin, mais uniquement pour les sites qui ont réellement appliqué la mise à jour. Sur les 800 000 sites concernés, combien tournaient encore, des mois plus tard, sur la version vulnérable ? Cette question résume à elle seule pourquoi une extension mal maintenue reste, statistiquement, le risque numéro un. Mon article sur l’utilité et les risques des plugins WordPress → explique comment faire le tri.

Deux alertes majeures en sept mois, l’une dans un plugin, l’autre dans le cœur du logiciel : le message est le même dans les deux cas. Une mise à jour non appliquée n’est jamais un détail.

Comment savoir si votre site est concerné (vérification en 5 minutes)

Pas besoin d’être développeur pour faire ce contrôle vous-même. Ces quatre tests suffisent à savoir si votre site est resté exposé à la faille WordPress de juillet :

1. Connectez-vous à votre tableau de bord WordPress, menu Mises à jour (ou Tableau de bord > Accueil, la version s’affiche en bas de page).
2. Comparez le numéro de version à 6.8.6, 6.9.5 ou 7.0.2 (ou une version plus récente). En dessous, vous étiez exposé.
3. Vérifiez si les mises à jour automatiques sont activées pour le cœur de WordPress : c’est ce réglage qui détermine si votre site s’est mis à jour tout seul en juillet, ou s’il attend toujours une intervention manuelle.
4. Faites le même contrôle pour vos extensions et votre thème : une version affichée en rouge ou orange dans le tableau de bord signale une mise à jour disponible, pas encore appliquée.

Conseil SiteParSteph : si vous ne trouvez pas ces réglages ou si le numéro de version ne vous dit rien, c’est en soi un signal. Personne ne surveille votre site en continu, et c’est exactement le rôle d’une maintenance professionnelle.

Que faire si vous n’êtes pas à jour

Si votre vérification révèle une version ancienne, pas de panique, mais n’attendez pas non plus :

• Sauvegardez votre site avant toute mise à jour : fichiers et base de données, idéalement stockés en dehors du serveur lui-même.
• Mettez à jour le cœur de WordPress en premier, puis les extensions et le thème, un par un plutôt que tous d’un coup, pour identifier rapidement un éventuel conflit.
• Vérifiez que le site fonctionne toujours normalement après chaque mise à jour : formulaires, panier si vous êtes en e-commerce, affichage sur mobile.
• Si vous avez le moindre doute sur une compromission déjà en cours (fichiers inconnus, redirections suspectes, ralentissement soudain), ne vous contentez pas d’une mise à jour : faites d’abord auditer le site avant de risquer d’écraser des preuves utiles.

La seule vraie protection : une maintenance qui ne s’arrête jamais

Ce que révèle cet épisode, ce n’est pas que WordPress serait moins fiable qu’on le pense, c’est l’inverse : le cœur du logiciel a réagi en quelques heures, avec un correctif diffusé automatiquement à des millions de sites. La vraie question n’est pas la fiabilité de WordPress, mais celle de la surveillance de votre propre site.

Une faille WordPress corrigée un 17 juillet ne protège que les sites qui appliquent le correctif le 17 juillet, ou dans les jours qui suivent, pas ceux qui la découvrent trois mois plus tard en lisant un article de blog. C’est exactement ce que couvre une maintenance WordPress mensuelle sérieuse → : la vérification et l’application des mises à jour de sécurité, sans attendre que vous ayez le temps d’y penser. Si vous hésitez encore sur ce qu’une offre de maintenance doit réellement inclure, ce comparatif → détaille ce qui relève du minimum vital et ce qui relève du confort.