WordPress

📅 Source : Blog Sucuri — publié le 1er octobre 2026. Récapitulatif mensuel des correctifs de sécurité pour l’écosystème WordPress (plugins et thèmes). Contexte Sucuri compile chaque mois les vulnérabilités découvertes et corrigées dans les plugins et thèmes WordPress. Ce bulletin de septembre 2026 couvre un volume exceptionnel de failles, touchant des plugins parmi les plus installés au monde, avec des bases d’installation allant de 50 000 à plus de 7 000 000 sites. ...

🔍 Contexte Publié le 1er octobre 2026 sur le blog Sucuri, cet article présente une analyse technique approfondie d’une compromission WordPress persistante, baptisée famille SC (d’après les marqueurs SC_ dans le code injecté). L’analyse est issue de travaux de nettoyage de sites web réels. 🧩 Architecture de persistance circulaire Le malware SC se distingue par sa capacité à survivre à toute suppression partielle grâce à 8 composants redondants qui se régénèrent mutuellement : ...

🔍 Contexte Source : CrowdSec VulnTracking, publié le 28 septembre 2026. CrowdSec rapporte l’exploitation massive et rapide de CVE-2026-87902, une vulnérabilité critique de type Local File Inclusion (LFI) dans le cœur de WordPress, pouvant mener à une exécution de code à distance (RCE) dans certaines conditions. 🛡️ Détails de la vulnérabilité Produit affecté : WordPress core versions 4.7.0 à 7.1.1 Versions corrigées : 7.1.2, 7.0.6, 6.9.9, 6.8.10, et rétroports jusqu’à 4.7.37 (22 septembre 2026) Classe : Path traversal / PHP file inclusion (CWE-22, CWE-98) CVSS 4.0 : 9.2 Critical (WordPress) ; CVSS 3.1 : 8.1 High (CISA) Authentification requise : Aucune Advisory : GHSA-7hp8-65ch-5whp CISA KEV : Ajouté le 25 septembre 2026, deadline fédérale le 28 septembre 2026 Signalée par : Robert Ressl via HackerOne le 20 juillet 2026 ; route PEAR documentée par Equixly ⚙️ Mécanisme d’exploitation La fonction get_page_template() construit un nom de fichier à partir du paramètre pagename. Des séquences ../ doublement encodées en URL contournent la première sanitisation, puis un urldecode() ultérieur les restaure, permettant une inclusion de fichier arbitraire via include. La vérification validate_file() utilisée ailleurs est absente sur ce chemin de code. ...

🔍 Contexte Publié le 21 septembre 2026 par l’équipe TDR de Sekoia, cet article détaille la découverte et l’analyse technique d’Exvicy, un nouveau framework de distribution de malware de type ClickFix vendu en Malware-as-a-Service (MaaS) sur le forum cybercriminel russophone Exploit.IN. 🧵 Origine de la découverte L’équipe TDR a identifié Exvicy à partir d’une capture d’écran du panneau d’administration partagée sur Exploit.IN par le threat actor @Exvicy. En pivotant sur une paire de nameservers Cloudflare visible dans cette capture (randy.ns.cloudflare.com / stevie.ns.cloudflare.com), les analystes ont identifié 5 domaines enregistrés depuis mi-mai 2026, puis localisé l’infrastructure active de l’opérateur. ...

🔍 Contexte Publié le 21 septembre 2026 par GreyNoise (Andrew Thompson, Mark Mager), ce rapport documente l’activité d’un acteur malveillant cybernétique (MCA) suivi depuis juin 2026 via le Global Observation Grid (GOG) de GreyNoise. L’acteur est suspecté d’être sinophone, opérant en UTC+8, et est relié au groupe “Red Heron” précédemment rapporté par Acronis, sur la base d’un domaine C2 commun, d’une famille de malware partagée et de TTPs similaires. 🎯 Campagne d’exploitation multi-vecteurs L’acteur a ciblé une large gamme de technologies entre juin et septembre 2026 : ...

🔍 Contexte Le 18 septembre 2026, l’équipe de recherche PWN.AI publie une divulgation technique complète d’une chaîne d’exploitation baptisée Click2Shell, affectant WordPress Core dans toutes les versions antérieures à 7.1.1. La vulnérabilité a été signalée le 22 août 2026 et corrigée le 17 septembre 2026 dans la version 7.1.1. 🧩 Mécanisme de la vulnérabilité principale (WordPress Core) Le fichier wp-admin/js/theme.js utilise la valeur du paramètre theme de l’URL /wp-admin/theme-install.php à deux endroits avec des interprétations divergentes : ...

🔍 Contexte Publié le 5 septembre 2026 par Wordfence (István Márton), cet article détaille l’exploitation active d’une vulnérabilité critique (CVSS 9.8) dans le plugin WordPress Super Forms – Drag & Drop Form Builder, affectant environ 13 000 installations actives. 🐛 Vulnérabilité Type : Unauthenticated Arbitrary File Upload (upload de fichier arbitraire non authentifié) Versions affectées : <= 6.3.313 Version corrigée : 6.3.314 (publiée le 8 juillet 2026) Vecteur : La fonction submit_form() de la classe SUPER_Ajax, accessible sans authentification via le handler AJAX nopriv, ne valide ni le type de fichier ni l’extension, et ne vérifie aucune capacité utilisateur. Contournement du nonce : L’action AJAX super_create_nonce (nopriv) permet à tout visiteur non authentifié d’obtenir un sf_nonce valide en une seule requête, réduisant l’exploitation à deux requêtes HTTP non authentifiées. Impact : Écriture d’un webshell PHP exécutable sur le serveur, permettant l’exécution de code arbitraire, la création de comptes administrateurs, l’exfiltration de données et la prise de contrôle complète du site. ⚔️ Exploitation observée Les attaquants ont commencé à cibler la vulnérabilité le 14 juillet 2026, le jour même de la publication de la règle de pare-feu Wordfence. La période d’exploitation la plus intense a été observée entre le 18 et le 25 août 2026. Plus de 250 000 tentatives d’exploitation ont été bloquées par le pare-feu Wordfence. Le payload observé est un webshell PHP nommé Mushr00w_upl.php, utilisé comme dropper de premier niveau pour déposer d’autres malwares, kits de phishing ou fichiers spam. Le branding « Mushr00w » est associé à un groupe de hackers ayant défacé le site du Ministère de la Santé de Malaisie via CVE-2026-48907 (extension Joomla). 📋 Exemple de requête d’attaque Endpoint ciblé : POST /wp-admin/admin-ajax.php Paramètre action : super_submit_form Le champ datauristring contient un payload PHP encodé en base64, préfixé d’un faux type MIME data:image/gif;base64 Le nom de fichier destination est contrôlé par l’attaquant (Mushr00w_upl.php) 🌐 Top IPs offensives 103.168.147.235 : >106 000 requêtes bloquées 103.168.146.131 : >82 000 requêtes bloquées 103.154.152.178, 103.170.97.7, 182.10.130.51, 189.4.122.140, 129.227.46.143, 64.176.209.104, 103.164.182.122, 37.9.33.62 📄 Type d’article Analyse technique et rapport d’incident publiés par Wordfence, visant à documenter la vulnérabilité, les données d’exploitation observées et les indicateurs de compromission associés. ...

🔍 Contexte Wordfence a publié le 2 septembre 2026 une analyse détaillée d’une vulnérabilité critique activement exploitée dans Elementor Pro, un plugin WordPress comptant plus de 6 millions d’installations actives. La vulnérabilité a été divulguée publiquement le 19 août 2026, date à laquelle le correctif a également été publié. 🐛 Vulnérabilité CVE : CVE-2026-32475 Score CVSS : 9.8 (Critique) Type : Unauthenticated Arbitrary File Upload (Upload de fichier arbitraire non authentifié) Versions affectées : Elementor Pro <= 4.2.1 Version corrigée : 4.2.1 Bounty : 15 600 $ Chercheurs : Tin Pham (TF1T), Austin Ginder ⚙️ Mécanisme technique La faille réside dans la fonction process_field du widget Elementor Pro Form. La boucle de validation dans Upload::validation() utilise return au lieu de continue lorsque le premier élément d’un tableau de fichiers retourne UPLOAD_ERR_NO_FILE. Cela interrompt toutes les vérifications d’extension et de type de fichier pour les éléments suivants du même champ d’upload. ...

📰 Contexte Publié le 2 septembre 2026 par Bill Toulas sur BleepingComputer, cet article rapporte la divulgation d’une vulnérabilité critique d’injection SQL affectant le plugin WordPress All-in-One WP Migration and Backup, développé par ServMask. Le plugin compte plus de 5 millions d’installations actives. 🔍 Détails de la vulnérabilité CVE : CVE-2026-19949 Type : Injection SQL de second ordre (second-order SQL injection) Sévérité : Haute Versions affectées : All-in-One WP Migration and Backup jusqu’à la version 7.109 incluse Version corrigée : 7.110 (publiée le 20 août 2026) Découvreur : Jack Taylor, signalé via Wordfence (branche cybersécurité de Defiant) le 15 août 2026 ⚙️ Mécanisme d’exploitation La faille résulte d’un traitement incorrect des barres obliques inversées et des guillemets échappés lors de la réécriture du contenu de la base de données pendant la restauration d’une archive. ...

🔍 Contexte Publié le 1er septembre 2026 par István Márton sur le blog Wordfence, cet article détaille une vulnérabilité critique découverte le 14 août 2026 dans le plugin WordPress All-in-One WP Migration and Backup, qui compte plus de 5 millions d’installations actives. 🐛 Vulnérabilité Type : Injection SQL de second ordre non authentifiée (Second-Order SQL Injection) CVE : CVE-2026-19949 Score CVSS : 8.8 (High) Versions affectées : toutes les versions jusqu’à 7.109 incluse Version corrigée : 7.110 Composant vulnérable : fonction replace_table_values() dans la classe Ai1wm_Database, dont l’expression régulière mal construite ('(.*?)(?<!\\)') ne gère pas correctement les séquences de backslashes pairs, provoquant une confusion de délimiteur de chaîne SQL. ⚙️ Mécanisme d’exploitation L’exploitation se déroule en plusieurs étapes : ...