WordPress

🔍 Contexte Publié le 5 septembre 2026 par Wordfence (István Márton), cet article détaille l’exploitation active d’une vulnérabilité critique (CVSS 9.8) dans le plugin WordPress Super Forms – Drag & Drop Form Builder, affectant environ 13 000 installations actives. 🐛 Vulnérabilité Type : Unauthenticated Arbitrary File Upload (upload de fichier arbitraire non authentifié) Versions affectées : <= 6.3.313 Version corrigée : 6.3.314 (publiée le 8 juillet 2026) Vecteur : La fonction submit_form() de la classe SUPER_Ajax, accessible sans authentification via le handler AJAX nopriv, ne valide ni le type de fichier ni l’extension, et ne vérifie aucune capacité utilisateur. Contournement du nonce : L’action AJAX super_create_nonce (nopriv) permet à tout visiteur non authentifié d’obtenir un sf_nonce valide en une seule requête, réduisant l’exploitation à deux requêtes HTTP non authentifiées. Impact : Écriture d’un webshell PHP exécutable sur le serveur, permettant l’exécution de code arbitraire, la création de comptes administrateurs, l’exfiltration de données et la prise de contrôle complète du site. ⚔️ Exploitation observée Les attaquants ont commencé à cibler la vulnérabilité le 14 juillet 2026, le jour même de la publication de la règle de pare-feu Wordfence. La période d’exploitation la plus intense a été observée entre le 18 et le 25 août 2026. Plus de 250 000 tentatives d’exploitation ont été bloquées par le pare-feu Wordfence. Le payload observé est un webshell PHP nommé Mushr00w_upl.php, utilisé comme dropper de premier niveau pour déposer d’autres malwares, kits de phishing ou fichiers spam. Le branding « Mushr00w » est associé à un groupe de hackers ayant défacé le site du Ministère de la Santé de Malaisie via CVE-2026-48907 (extension Joomla). 📋 Exemple de requête d’attaque Endpoint ciblé : POST /wp-admin/admin-ajax.php Paramètre action : super_submit_form Le champ datauristring contient un payload PHP encodé en base64, préfixé d’un faux type MIME data:image/gif;base64 Le nom de fichier destination est contrôlé par l’attaquant (Mushr00w_upl.php) 🌐 Top IPs offensives 103.168.147.235 : >106 000 requêtes bloquées 103.168.146.131 : >82 000 requêtes bloquées 103.154.152.178, 103.170.97.7, 182.10.130.51, 189.4.122.140, 129.227.46.143, 64.176.209.104, 103.164.182.122, 37.9.33.62 📄 Type d’article Analyse technique et rapport d’incident publiés par Wordfence, visant à documenter la vulnérabilité, les données d’exploitation observées et les indicateurs de compromission associés. ...

🔍 Contexte Wordfence a publié le 2 septembre 2026 une analyse détaillée d’une vulnérabilité critique activement exploitée dans Elementor Pro, un plugin WordPress comptant plus de 6 millions d’installations actives. La vulnérabilité a été divulguée publiquement le 19 août 2026, date à laquelle le correctif a également été publié. 🐛 Vulnérabilité CVE : CVE-2026-32475 Score CVSS : 9.8 (Critique) Type : Unauthenticated Arbitrary File Upload (Upload de fichier arbitraire non authentifié) Versions affectées : Elementor Pro <= 4.2.1 Version corrigée : 4.2.1 Bounty : 15 600 $ Chercheurs : Tin Pham (TF1T), Austin Ginder ⚙️ Mécanisme technique La faille réside dans la fonction process_field du widget Elementor Pro Form. La boucle de validation dans Upload::validation() utilise return au lieu de continue lorsque le premier élément d’un tableau de fichiers retourne UPLOAD_ERR_NO_FILE. Cela interrompt toutes les vérifications d’extension et de type de fichier pour les éléments suivants du même champ d’upload. ...

📰 Contexte Publié le 2 septembre 2026 par Bill Toulas sur BleepingComputer, cet article rapporte la divulgation d’une vulnérabilité critique d’injection SQL affectant le plugin WordPress All-in-One WP Migration and Backup, développé par ServMask. Le plugin compte plus de 5 millions d’installations actives. 🔍 Détails de la vulnérabilité CVE : CVE-2026-19949 Type : Injection SQL de second ordre (second-order SQL injection) Sévérité : Haute Versions affectées : All-in-One WP Migration and Backup jusqu’à la version 7.109 incluse Version corrigée : 7.110 (publiée le 20 août 2026) Découvreur : Jack Taylor, signalé via Wordfence (branche cybersécurité de Defiant) le 15 août 2026 ⚙️ Mécanisme d’exploitation La faille résulte d’un traitement incorrect des barres obliques inversées et des guillemets échappés lors de la réécriture du contenu de la base de données pendant la restauration d’une archive. ...

🔍 Contexte Publié le 1er septembre 2026 par István Márton sur le blog Wordfence, cet article détaille une vulnérabilité critique découverte le 14 août 2026 dans le plugin WordPress All-in-One WP Migration and Backup, qui compte plus de 5 millions d’installations actives. 🐛 Vulnérabilité Type : Injection SQL de second ordre non authentifiée (Second-Order SQL Injection) CVE : CVE-2026-19949 Score CVSS : 8.8 (High) Versions affectées : toutes les versions jusqu’à 7.109 incluse Version corrigée : 7.110 Composant vulnérable : fonction replace_table_values() dans la classe Ai1wm_Database, dont l’expression régulière mal construite ('(.*?)(?<!\\)') ne gère pas correctement les séquences de backslashes pairs, provoquant une confusion de délimiteur de chaîne SQL. ⚙️ Mécanisme d’exploitation L’exploitation se déroule en plusieurs étapes : ...

🗓️ Source : SecurityWeek, publié le 18 août 2026, par Ionut Arghire. L’information provient de la firme de sécurité WordPress Defiant. 🔍 Contexte Une vulnérabilité critique a été identifiée dans le plugin Forminator Forms pour WordPress, l’un des constructeurs de formulaires les plus populaires avec plus de 600 000 installations actives. La moitié de ces installations tournent sur une version vulnérable, exposant potentiellement plus de 300 000 sites web à des attaques. ...

📰 Source : CybersecurityNews.com, basé sur un rapport de Check Point Research, publié le 18 août 2026. Contexte Une campagne malveillante nommée StopAndProtect a été découverte, transformant des milliers de sites WordPress piratés en infrastructure C2 (command-and-control) distribuée. L’opération combine ransomware à double extorsion et vol de données ciblant des entreprises à l’échelle mondiale. Vecteur d’infection Le vecteur initial repose sur des leurres CAPTCHA frauduleux injectés dans des sites WordPress vulnérables. Les visiteurs sont invités à copier-coller une commande PowerShell malveillante dans leur terminal, déclenchant une chaîne d’infection multi-étapes. ...

🔍 Contexte Publié le 18 août 2026 par Check Point Research (auteur : Jaromír Hořejší), cet article présente une analyse technique approfondie de l’opération StopAndProtect, identifiée pour la première fois mi-mai 2026. L’opération combine chiffrement de fichiers (ransomware) et vol de données silencieux, en abusant de milliers de sites WordPress compromis comme infrastructure d’attaque. 🎯 Vecteur d’infection La chaîne d’infection repose sur la technique de social engineering ClickFix (fausse CAPTCHA) déployée sur des sites WordPress piratés : ...

🔍 Contexte Le CERT-FR a publié le 13 août 2026 l’avis CERTFR-2026-AVI-1018 signalant une vulnérabilité dans WordPress, basé sur le bulletin de sécurité officiel WordPress du 12 août 2026. ⚠️ Vulnérabilité identifiée CVE : CVE-2026-65640 Impact : Exécution de code arbitraire à distance (RCE) Produit affecté : WordPress dans toutes les versions antérieures à 7.0.4 🛠️ Correction disponible La version WordPress 7.0.4 corrige cette vulnérabilité. Le bulletin de sécurité officiel est disponible à l’adresse : https://wordpress.org/news/2026/08/wordpress-7-0-4-release/ ...

📅 Source : flawfence.com, publié le 10 août 2026. Analyse technique détaillée de la vulnérabilité CVE-2026-64638, baptisée xss2shell, découverte par l’équipe de recherche pwn.ai et corrigée dans WordPress 7.0.3 le 6 août 2026. 🔍 Nature de la vulnérabilité La faille repose sur une confusion de parseurs entre deux fonctions de nettoyage HTML de WordPress : strip_tags() (PHP natif) : ne reconnaît pas une balise si un espace suit le chevron ouvrant (< area passe intact) wp_kses_post() : interprète < area comme une balise <area> HTML valide Cette divergence permet d’injecter du HTML dans le message d’erreur de wp-login.php sans aucune authentification. ...

🗓️ Contexte Publié le 13 août 2026 par SecurityWeek (auteur : Ionut Arghire), cet article rapporte la publication par WordPress d’un correctif pour une vulnérabilité d’exécution de code à distance (RCE) de haute sévérité, identifiée sous CVE-2026-65640 avec un score CVSS de 8.8. 🔍 Description de la vulnérabilité La faille réside dans l’interaction entre WordPress, ImageMagick (via l’extension Imagick) et Ghostscript : WordPress détermine le type de fichier uploadé en se basant sur l’extension du fichier ImageMagick, lui, analyse le contenu du fichier Si ImageMagick détecte du contenu PostScript dans un fichier (même renommé en .png), il appelle Ghostscript pour le rendre Certaines méthodes d’upload dans WordPress ne déclenchent pas la vérification de contenu, permettant l’exploitation 🎯 Conditions d’exploitation L’attaquant doit disposer d’un compte avec des droits Author ou supérieurs L’installation doit utiliser Imagick et Ghostscript L’attaquant doit avoir des droits d’upload de fichiers 🛠️ Correction appliquée WordPress 7.0.4 intègre le correctif Le fix a été rétro-porté sur toutes les branches jusqu’à la version 4.7 La fonction load() a été modifiée pour vérifier le contenu du fichier avant de le transmettre à Imagick Le correctif empêche également la manipulation d’Imagick via les noms de fichiers pour invoquer Ghostscript 📢 Évaluation du risque (Patchstack) Selon Patchstack, qui a analysé la vulnérabilité, le risque est concret et non théorique pour les sites multi-auteurs, sites à membres, ou sites avec des inscriptions ouvertes. ...