Cinq vulnérabilités, toutes notées entre 9.8 et 10.0 sur l’échelle CVSS, frappent simultanément l’écosystème WordPress à travers des extensions et un thème que des centaines de milliers de sites utilisent en production. WPMU DEV Dashboard, Avada, TranslatePress, Pods, GiveWP. Cinq noms. Cinq portes ouvertes sur le vide.
WPMU DEV Dashboard, installé sur environ 350 000 sites actifs, souffre d’un contournement d’authentification référencé CVE-2026-76581 qu’un attaquant non authentifié peut exploiter sans jamais connaître la clé API du service. La faille réside dans une incohérence de construction et de validation des signatures HMAC-SHA-256 lors du processus Hub Single-Sign On, où deux actions AJAX (wdpsso_step1 et wdpsso_step2) acceptent un paramètre de redirection vide puis réutilisé pour forger une confusion de canonicalisation. Le chercheur Alex Thomas, de l’équipe Wordfence Argus, a identifié cette brèche le 19 août 2026 et l’éditeur a publié dès le 24 août la version corrective 5.0.2, qui stocke désormais le HMAC côté serveur pour bloquer toute tentative de rejeu.
Le thème Avada (avec son compagnon Fusion Builder) expose quant à lui une écriture arbitraire de fichiers, référencée CVE-2026-18431, qui permet à un attaquant distant d’injecter et d’exécuter du code PHP sur le serveur sans la moindre authentification. Toutes les versions jusqu’à 7.16 du thème et 3.16 du plugin sont touchées. Une exécution de code à distance, complète, sans friction… On écrit un fichier, on le déclenche, on possède le site.
TranslatePress livre ses administrateurs par l’exposition d’informations sensibles (CVE-2026-19632). Lorsque la sauvegarde automatique des chaînes est activée et que le profil d’un administrateur utilise une langue secondaire publiée, l’URL de réinitialisation de mot de passe apparaît en clair, clé de reset incluse. Un attaquant peut alors récupérer ces données et prendre le contrôle total du compte administrateur.
Pods, l’extension de gestion de types de contenus personnalisés, permet de son côté une escalade de privilèges (CVE-2026-19598) allant jusqu’à l’écrasement du mot de passe de n’importe quel utilisateur, propriétaire du site compris.
La faille la plus sévère appartient pourtant à GiveWP, plugin de dons utilisé par des milliers d’organisations. Notée CVSS 10.0 sous la référence CVE-2026-82222, elle enchaîne trois faiblesses, un helper de désérialisation prétendument sûr qui ne filtre pas les objets, un flux de dons alimenté par des données contrôlées par l’attaquant, et une chaîne de gadgets issue de bibliothèques de développement embarquées en production. « Les causes racines sont communes », a résumé l’équipe de Patchstack, « on fait confiance à un sanitizer de sérialisation qui ne supprime pas réellement les objets, on désérialise des données lues depuis la base comme si elles étaient fiables, et on expédie des bibliothèques de développement en production où elles fournissent des chaînes de gadgets prêtes à l’emploi ». Un formulaire de don publié et une passerelle de paiement active suffisent à transformer une injection d’objet PHP en exécution de commandes arbitraires sur le serveur. Toutes les versions jusqu’à 4.16.7.1 sont vulnérables.
Qui gère un site WordPress aujourd’hui devrait vérifier la version de chacune de ces cinq extensions. A la mi-août, une faille critique dans Forminator permettait déjà de prendre le contrôle total d’un site WordPress sans authentification. Les correctifs existent ou arrivent, la fenêtre d’exploitation se referme lentement, et ceux qui n’auront pas mis à jour leurs installations resteront seuls face à des attaques dont la recette est désormais publique.
