Plus de 300 000 sites WordPress tournent encore aujourd’hui avec une version vulnérable de Forminator, le populaire plugin de formulaires développé par WPMU DEV, et chacun d’entre eux est potentiellement une porte grande ouverte sur le serveur. La vulnérabilité référencée CVE-2024-28890, affublée d’un score CVSS de 9.8 sur 10, permet à n’importe quel attaquant distant, sans le moindre identifiant, de téléverser des fichiers malveillants sur le serveur d’un site cible, d’y exécuter du code arbitraire et, in fine, d’en prendre le contrôle complet.
Le CERT japonais (JPCERT) a publié en premier l’alerte via son portail JVN, décrivant un scénario d’exploitation d’une élégance terrifiante pour les administrateurs WordPress. L’absence de validation correcte des fichiers lors de l’upload permet à un attaquant de déposer un webshell ou tout autre payload sur le serveur, sans jamais avoir besoin de s’authentifier. Le plugin, installé sur plus de 500 000 sites pour ses capacités de création de formulaires de contact, sondages, quiz et paiements en glisser-déposer, devient alors le vecteur d’une compromission totale. Accès aux fichiers sensibles du serveur, modification du site, déni de service… le triptyque complet de la catastrophe.
Forminator ne souffre d’ailleurs pas d’une seule plaie, mais de trois. À côté de la faille d’upload non authentifié (CVE-2024-28890, versions 1.29.0 et antérieures), le bulletin de sécurité du JPCERT recense également une injection SQL exploitable par un attaquant disposant de privilèges administrateur (CVE-2024-31077, versions jusqu’à 1.29.3) et une vulnérabilité de type cross-site scripting permettant l’injection de code HTML et JavaScript dans le navigateur d’une victime piégée par un lien forgé (CVE-2024-31857, versions 1.15.4 et antérieures). Trois failles, trois vecteurs d’attaque, un seul plugin.
La version 1.29.3, diffusée le 8 avril 2024, corrige l’ensemble de ces vulnérabilités, et pourtant les statistiques de WordPress.org révèlent qu’environ 180 000 téléchargements seulement ont été enregistrés depuis cette date. En supposant que chacun de ces téléchargements corresponde bien à la version patchée (hypothèse optimiste), il reste donc potentiellement 320 000 installations exposées à une exploitation qui ne requiert ni compétence avancée, ni accès préalable au site. Comment expliquer qu’un tiers seulement des administrateurs concernés ait réagi face à un score CVSS frôlant le maximum théorique ?
L’histoire ne s’arrête d’ailleurs pas là pour WPMU DEV. Un second CVE, publié en mars 2026 (CVE-2026-32409, CVSS 5.3), frappe les versions de Forminator jusqu’à la 1.50.2 avec un défaut d’autorisation (CWE-862) permettant à des acteurs non authentifiés de modifier des données ou des paramètres gérés par le plugin. Cette vulnérabilité de contrôle d’accès cassé, de sévérité moyenne, n’offre certes pas le même potentiel dévastateur qu’une exécution de code à distance, mais elle illustre une tendance récurrente dans la base de code du plugin, où les vérifications d’autorisation semblent régulièrement défaillantes.
Les administrateurs WordPress doivent appliquer immédiatement la mise à jour vers la dernière version disponible de Forminator, vérifier l’intégrité de leurs fichiers serveur (un webshell déposé avant le patch survivra évidemment à la mise à jour), et déployer des règles WAF filtrant les requêtes d’upload suspectes sur les endpoints REST du plugin. La désactivation pure du plugin reste la mesure la plus radicale pour les sites où Forminator n’est pas strictement indispensable. Réduire le nombre de plugins installés, activer l’authentification à deux facteurs pour tous les comptes éditeurs et administrateurs, surveiller les logs d’activité pour détecter toute modification inattendue des configurations de formulaires, voilà le kit de survie minimum.
Aucune exploitation active de CVE-2024-28890 n’a été documentée publiquement à ce jour, ce qui relève peut-être davantage de l’absence de visibilité que de l’absence d’attaques. Avec un demi-million d’installations, un exploit sans authentification et un taux de mise à jour aussi faible, Forminator constitue désormais l’une de ces cibles que les scanners automatisés de l’écosystème cybercriminel n’ont aucune raison d’ignorer.
