WordPress 7.1.2 corrige une faille critique permettant une RCE

Mise à jour du 26 septembre 2026 : la CISA a ajouté le 25 septembre CVE-2026-87902 à son catalogue KEV, sur la base de preuves d’exploitation active. Cette inscription renforce l’urgence d’installer WordPress 7.1.2 ou la version corrigée correspondant à la branche utilisée.

WordPress a publié le 22 septembre 2026 la version 7.1.2 afin de corriger CVE-2026-87902, une vulnérabilité critique notée 9,2 sur 10 selon CVSS 4.0. La mise à jour doit être installée sans attendre.

La faille se trouve dans la résolution des modèles de page par get_page_template(). Un attaquant non authentifié peut, dans certaines configurations, provoquer l’inclusion d’un fichier PHP local lisible situé en dehors des répertoires du thème actif. Si toutes les conditions sont réunies, cette traversée de chemin peut mener à une exécution de code à distance sur le serveur.

L’exploitation nécessite deux prérequis principaux :

• le thème parent ou enfant actif contient à sa racine un dossier dont le nom commence par page-, par exemple page-templates ;
• un fichier PHP local ciblé est présent sur le serveur et peut être lu par le compte utilisé par le serveur web.

L’avis de sécurité officiel cite notamment les anciens thèmes Twenty Twelve et Twenty Fourteen, ainsi que des thèmes tiers comme Neve, Hestia et Sydney. Il précise également qu’une exécution de code peut être obtenue avec pearcmd.php lorsque register_argc_argv est activé. L’image Docker officielle de PHP et la configuration par défaut de cPanel avec une version de PHP antérieure à 8.5 font partie des environnements concernés par ce scénario.

Les versions WordPress 7.1.0 et 7.1.1 sont vulnérables. Le problème affecte aussi les branches antérieures jusqu’à WordPress 4.7. Des correctifs ont été publiés pour chaque branche encore éligible, mais seule la version la plus récente bénéficie d’un support actif. La recommandation reste donc de passer directement à WordPress 7.1.2 depuis Tableau de bord > Mises à jour. Les sites autorisant les mises à jour automatiques en arrière-plan doivent recevoir le correctif automatiquement.

La classification critique ne signifie pas que toutes les installations sont immédiatement exploitables : le thème et le serveur doivent réunir les prérequis décrits. L’attaque ne demande toutefois ni compte ni interaction d’un utilisateur, et son impact potentiel est une compromission complète du site. Il ne faut donc pas attendre de confirmer la présence de toutes les conditions avant d’appliquer le correctif.

Annonce de WordPress 7.1.2.

Retrouvez également notre article consacré à WordPress 7.1 et à ses nouveautés.