Les administrateurs WordPress sont invités à restreindre l’accès à un répertoire temporaire de mise à jour avant d’appliquer les correctifs de la CVE-2026-119977, une vulnérabilité activement exploitée affectant les versions 4.7 à 7.1.3 de WordPress.
Selon le chercheur en sécurité Umut Bayram de Picus Security, certains sites peuvent rester exposés pendant le processus de mise à jour lui-même. Bien que WordPress 7.1.4 et les versions des branches prises en charge corrigent le problème, l’ancien code de mise à jour peut encore décompresser le paquet de mise à jour dans un répertoire temporaire accessible depuis le Web avant que les nouvelles protections ne prennent effet.
Le problème concerne les fichiers placés sous wp-content/upgrade. Lors de certaines mises à jour du cœur, WordPress extrait un paquet de version complet à cet emplacement. Si un attaquant peut prédire ou découvrir le nom du dossier temporaire et accéder aux fichiers d’installation avant leur suppression, il peut être en mesure d’exécuter du code avec les autorisations du serveur Web.
La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues exploitées. Wordfence a signalé avoir observé une activité d’attaque peu après avoir publié une règle de pare-feu pour cette faille, notamment des comportements compatibles avec des tentatives de ciblage de sites pendant que les mises à jour étaient en cours.
Qui peut être affecté
Le niveau d’exposition dépend du paquet de mise à jour livré à un site. Les paquets complets incluent des composants d’installation, contrairement aux paquets partiels. Les sites effectuant une mise à niveau entre des versions majeures ou des branches WordPress plus anciennes sont davantage susceptibles de recevoir des paquets complets. Sur WordPress 5.9 et versions ultérieures, l’ancien programme de mise à jour peut utiliser un nom de répertoire temporaire prévisible, ce qui augmente le risque lors de la transition vers une version corrigée.
Mesures d’atténuation recommandées
Les administrateurs doivent refuser les requêtes Web vers wp-content/upgrade avant d’exécuter une mise à jour, tout en permettant à WordPress de continuer à utiliser le répertoire localement. La restriction peut être appliquée dans la configuration du serveur Web ou, si nécessaire, au moyen d’une règle Apache appropriée au niveau de la racine.
- Vérifiez que les requêtes vers le répertoire de mise à niveau renvoient une réponse de refus d’accès.
- Installez WordPress 7.1.4 ou la version corrigée disponible pour la branche prise en charge utilisée.
- Envisagez de mettre à jour manuellement les fichiers du cœur depuis un emplacement situé hors de la racine Web si les contrôles du serveur ne peuvent pas être modifiés.
- Examinez les journaux et les fichiers afin de détecter des requêtes inattendues ou des fichiers PHP dans wp-content/upgrade, ainsi que des comptes administrateur ou des extensions inconnus.
La commande standard de mise à jour du cœur de WP-CLI peut ne pas éliminer le problème, car elle utilise le même processus sous-jacent de mise à jour. Les versions 4.6 et antérieures de WordPress ne sont plus prises en charge et doivent être migrées vers une version maintenue.