WordPress 7.1.2 corrige une faille critique de résolution de template exploitée pour exécuter du code
Le 22 septembre 2026, WordPress a publié la version 7.1.2 pour corriger CVE-2026-87902, une faille critique qui permet à un attaquant non authentifié d’inclure un fichier PHP local dans la résolution de template et, sous conditions, d’exécuter du code. Mettez à jour immédiatement, en particulier les sites sans mise à jour automatique.
22 septembre 2026. WordPress publie la version 7.1.2, un correctif de sécurité ciblant une seule faille de sévérité critique. 23 septembre 2026. BleepingComputer rapporte que des attaquants ont commencé à exploiter la faille pour exécuter du code. Le périmètre est massif : WordPress propulse une part majeure du web, et la faille touche jusqu’aux branches les plus anciennes. Pourquoi c’est important : une exécution de code à distance dans le cœur de WordPress est un événement rare — et celui-ci se joue sans authentification.
Une faille dans la résolution de template, pas dans un plugin
La faille CVE-2026-87902 (advisory GHSA-7hp8-65ch-5whp) se situe dans la fonction get_page_template(), au cœur du mécanisme de résolution de template de WordPress. Concrètement, un attaquant non authentifié peut, sous certaines conditions, faire en sorte que la résolution du template de page inclue un fichier PHP local lisible de son choix, situé en dehors des répertoires du thème actif.
La nuance « sous certaines conditions » n’est pas une clause de style. L’exploitation exige que l’environnement serveur et le thème actif réunissent des préconditions précises. Autrement dit, tous les sites ne sont pas exposés de la même manière — mais quand les conditions sont réunies, la conséquence est l’exécution de code à distance.
Le responsable de la divulgation est Robert Ressl, qui a signalé la faille de manière responsable. L’équipe sécurité de WordPress le remercie nommément dans la note de version — un signal rare, réservé aux divulgations qui évitent une catastrophe.
Pourquoi c’est plus grave qu’une faille de plugin classique
Une faille dans un plugin touche les sites qui l’utilisent. Une faille dans le cœur touche tout le monde, ou presque. La différence de traitement est immédiate : WordPress a rétroporté le correctif à toutes les branches éligibles aux correctifs de sécurité, actuellement jusqu’à la 4.7. C’est l’indice le plus fiable de la gravité réelle — on ne rétroporte pas un correctif jusqu’à des versions vieilles de plus d’une décennie pour une faille anodine.
Le second signal est le fork ClassicPress, issu de WordPress, qui est également affecté — mais pour lequel aucune mise à jour de sécurité n’a encore été fournie. Les utilisateurs de ClassicPress sont donc dans une position délicate : la faille est publique, le correctif ne l’est pas.
Le troisième signal est l’exploitation. BleepingComputer rapporte le 23 septembre que des attaquants ont commencé à exploiter la faille critique pour l’exécution de code. La fenêtre entre divulgation et exploitation, déjà réduite sur les équipements réseau, se resserre aussi sur le CMS le plus répandu de la planète.
Ce que vous devez faire
La consigne est simple parce que le mécanisme de mise à jour de WordPress est simple. Mettez à jour vers 7.1.2 immédiatement. Le correctif est disponible sur WordPress.org ou depuis le tableau de bord, via « Mises à jour » puis « Mettre à jour maintenant ». Les sites qui prennent en charge les mises à jour automatiques en arrière-plan recevront la mise à jour sans intervention.
# WP-CLI : vérifier la version installée puis déclencher la mise à jour du cœur
wp core version
wp core update --version=7.1.2
# Vérifier qu'aucune mise à jour n'est en attente après coup
wp core updateLe point de vigilance réel ne concerne pas les sites à jour, mais les sites figés : installations où les mises à jour automatiques sont désactivées, thèmes ou extensions qui bloquent le mécanisme, ou environnements maintenus hors ligne. Pour ceux-là, la mise à jour manuelle est la seule protection — et elle ne peut plus attendre, puisque l’exploitation a commencé.
Pour les sites ClassicPress, la situation est inverse : sans correctif publié, la réponse consiste à suivre de près l’annonce du fork et, en attendant, à durcir l’environnement serveur — limiter l’exécution PHP, restreindre les fichiers lisibles par le compte web, et surveiller les journaux d’accès pour des requêtes anormales vers les chemins de template.
Un précédent éclaire la suite. En juillet 2026, la version 7.0.2 corrigeait une faille critique et une faille haute, et l’équipe WordPress.org avait alors activé des mises à jour forcées via le système d’auto-update pour les sites en version affectée — une mesure rare, réservée aux failles jugées suffisamment graves pour passer outre la préférence de l’administrateur. La 7.1.2 n’a, à ce jour, pas déclenché le même mécanisme. La responsabilité retombe donc sur les administrateurs dont l’auto-update est désactivé : c’est sur ces sites que l’exploitation en cours va se concentrer.
Comment la résolution de template ouvre la porte
Pour comprendre la faille, il faut savoir comment WordPress choisit le fichier qui affiche une page. Quand une requête arrive, le moteur parcourt une hiérarchie de templates : il cherche d’abord un fichier spécifique au type de contenu, puis remonte vers des gabarits plus génériques. get_page_template() est la fonction qui détermine quel fichier PHP du thème actif sera exécuté pour une page donnée.
La faille casse une hypothèse de base : que cette résolution reste confinée aux répertoires du thème. Un attaquant peut faire en sorte que la résolution pointe vers un fichier PHP local lisible situé ailleurs — par exemple un fichier de configuration, un plugin ou tout autre fichier que le compte web peut lire. Si ce fichier contient du code exécutable, il est interprété par PHP. Le résultat, quand les conditions serveur et thème sont réunies, est une exécution de code à distance.
Concrètement, les sites les plus exposés sont ceux où le compte web — souvent www-data — peut lire des fichiers PHP hors du thème, une configuration fréquente en hébergement mutualisé où les permissions sont permissives, ou sur les installations qui stockent des fichiers sensibles dans des emplacements accessibles. Un thème qui déclare des templates personnalisés élargit aussi la surface : c’est lui qui fournit les chemins que la résolution peut être amenée à suivre.
La sévérité « critique » ne signifie pas « exploitation triviale sur tous les sites ». Elle reflète le pire scénario : un site qui réunit les préconditions perd le contrôle sans qu’aucune authentification ne soit nécessaire. C’est exactement le profil de risque que la rétroportation jusqu’à la 4.7 cherche à couvrir.
Détecter une exploitation déjà en cours
Pour les sites qui ne peuvent pas mettre à jour immédiatement, la détection porte sur deux fronts. D’abord, les fichiers : une exécution de code laisse souvent un fichier PHP ajouté ou modifié, typiquement dans wp-content/uploads ou dans le répertoire du thème. Ensuite, les journaux : des requêtes vers des chemins de template inhabituels, ou des appels répétés à des fichiers hors des répertoires attendus.
# Chercher des fichiers PHP modifiés récemment dans l'arborescence WordPress
find /var/www -name "*.php" -mtime -7 -type f 2>/dev/null
# Repérer les fichiers PHP déposés dans les répertoires d'uploads (jamais légitimes)
find wp-content/uploads -name "*.php" 2>/dev/nullLe second signal est la présence d’un fichier PHP inattendu dans un répertoire qui ne devrait en contenir aucun — c’est le cas le plus courant des dépôts d’un webshell. La règle d’or reste la même qu’ailleurs : une mise à jour rapide vaut mieux qu’une détection fine, mais quand la mise à jour est impossible, la détection est le seul filet.
Verdict
CVE-2026-87902 rappelle que le cœur de WordPress n’est pas immunisé contre les RCE, seulement moins souvent touché. Si vous gérez un site WordPress, mettez à jour vers 7.1.2 — c’est une action de quelques minutes contre une exécution de code potentielle. Si vous gérez un parc de sites, priorisez ceux dont les mises à jour automatiques sont désactivées, car ce sont eux que l’exploitation en cours va viser en premier. Si vous êtes sur ClassicPress, vous êtes exposé sans correctif : suivez l’annonce du fork et durcissez l’environnement en attendant.