La CISA confirme l'exploitation d'une faille dans WordPress lors des mises à jour logicielles

Two rows of black and white piano keys — Manuel Luikenga / Unsplash

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté une faille de sécurité dans WordPress Core au catalogue des Vulnérabilités Connues Exploitées (KEV), citant des preuves d'exploitation active.

Cette vulnérabilité de haute gravité, suivie sous le code CVE-2026-119977 (score CVSS : 8,1), est un cas de condition de course Time-of-check Time-of-use (TOCTOU) qui pourrait être exploitée pour réaliser une exécution de code arbitraire sur les serveurs affectés. Des correctifs pour cette faille ont été publiés le mois dernier.

La CISA a déclaré, "WordPress Core contient une vulnérabilité de condition de course Time-of-check Time-of-use (TOCTOU) qui pourrait permettre à des attaquants non authentifiés d'exécuter du code sur le serveur pendant la période de mise à jour." Cela est dû à des chemins de mise en scène prévisibles et accessibles sur le web utilisés lors des mises à jour complètes du cœur.

Au cours des 21 premières heures après la divulgation publique, la société de sécurité WordPress a enregistré plus de 18 500 demandes ciblant les chemins d'installation "setup-config.php" mis en scène. À l'heure actuelle, 12 632 attaques tentant d'exploiter la faille ont été bloquées au cours des dernières 24 heures.

Des données de télémétrie de Previdian montrent que trois tentatives d'exploitation ont été enregistrées contre ses capteurs honeypot à partir d'une adresse IP géolocalisée au Royaume-Uni. Les événements d'exploitation ont été observés le 30 octobre 2026.

Avec l'exploitation désormais officiellement confirmée par la CISA, les agences du Federal Civilian Executive Branch (FCEB) ont jusqu'au 6 novembre 2026 pour appliquer les correctifs.