WordPress 7.1.4 : la faille qui frappe pendant la mise à jour

Si votre site tourne sous WordPress, une mise à jour vous attend. Pour une fois, c'est le moment même de la mise à jour qui pose problème. WordPress 7.1.4, publiée le 28 octobre 2026, corrige 22 failles de sécurité (Astuces du Web). La plus grave permet à un inconnu, sans aucun identifiant, d'exécuter du code sur votre serveur pendant les quelques secondes où WordPress s'actualise (LeBigData). Les premières tentatives d'attaque ont été repérées quelques heures après la publication du correctif (LeBigData).

La parade est simple. Mais l'ordre des gestes compte : s'ils sont mal enchaînés, ils laissent la porte ouverte une dernière fois.

Ce que corrige WordPress 7.1.4

La plupart des 22 failles sont des failles dites XSS : quelqu'un glisse du code dans un contenu, et ce code s'exécute dans le navigateur de la personne qui l'ouvre, souvent l'administrateur qui relit un brouillon (Astuces du Web). Elles exigent presque toutes un compte de rédacteur sur le site, au moins de niveau Contributeur (Astuces du Web).

Deux failles, en revanche, ne demandent aucun compte (Astuces du Web) :

• une exécution de code pendant la mise à jour du cœur de WordPress, la plus sérieuse ;
• l'accès aux brouillons non publiés de l'outil Apparence > Personnaliser, qui pouvait laisser voir avant l'heure un nouveau menu ou une page d'accueil remaniée.

La première touche toutes les versions de 4.7 à 7.1.3, et Wordfence lui attribue une note de gravité de 8,1 sur 10 (LeBigData). C'est la quatrième version de sécurité de la branche 7.1 en six semaines (Astuces du Web). Ne la confondez pas avec l'alerte sur la version 7.1.3 : il s'agit d'une autre faille, et celle-ci est déjà attaquée.

Une faille qui s'ouvre pendant la mise à jour

Lors d'une mise à jour complète, WordPress décompresse la nouvelle version dans un dossier temporaire, rangé sous wp-content/upgrade (LeBigData). Ce dossier contient aussi le programme d'installation de WordPress (LeBigData). Jusqu'ici, son nom ne comportait que six caractères aléatoires, assez peu pour être deviné, et il restait accessible depuis le Web comme le reste du site (Astuces du Web).

Un pirate qui atteint ce programme d'installation au bon moment peut lancer des instructions sur le serveur sans compte WordPress (LeBigData). La fenêtre ne dure parfois que quelques secondes. Les attaquants compensent en envoyant des requêtes en continu, pour tomber pile au bon instant (LeBigData).

La version 7.1.4 allonge le nom du dossier à 16 caractères, y ajoute un fichier vide qui empêche d'en lister le contenu et ne recopie plus le fichier de configuration du site depuis le dossier temporaire (Astuces du Web).

Des attaques déjà en cours

Wordfence, spécialiste de la sécurité WordPress, dit avoir bloqué 62 969 tentatives visant cette faille en 24 heures (The Hacker News). Sa protection a intercepté une première requête suspecte neuf minutes seulement après sa mise en service, elle-même déployée environ trois heures après la sortie du correctif (LeBigData).

Ce chiffre compte des tentatives bloquées, pas des sites piratés (LeBigData). Le signal reste net. Le 3 novembre 2026, l'agence américaine de cybersécurité CISA a inscrit cette faille dans son catalogue des vulnérabilités activement exploitées (CISA).

Votre PME est à Abidjan, à Dakar ou à Lyon ? Peu importe. Ces robots testent tous les sites WordPress qu'ils trouvent, sans regarder la taille de l'entreprise.

Le piège : la mise à jour qui corrige passe par l'ancien code

C'est le point le plus souvent ignoré. Quand vous installez la 7.1.4, c'est encore l'ancien programme de mise à jour, celui qui contient la faille, qui décompresse les fichiers (The Hacker News). Un attaquant qui frappe à ce moment précis peut donc toujours exécuter du code (The Hacker News).

D'où la recommandation du chercheur cité par The Hacker News : bloquer l'accès public au dossier wp-content/upgrade avant de lancer la mise à jour (The Hacker News). WordPress travaille sur ce dossier directement sur le disque du serveur. Le fermer aux visiteurs ne bloque donc pas les mises à jour (The Hacker News).

Vérifier la version de votre site

Connectez-vous à l'administration et ouvrez Tableau de bord > Mises à jour : le numéro installé s'y affiche (Astuces du Web). Si les mises à jour automatiques de sécurité sont actives, le passage à la 7.1.4 a pu se faire tout seul, la nuit (Astuces du Web). Dans ce cas, passez directement aux signes d'alerte plus bas.

Les anciennes branches ont reçu leur propre correctif : 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14, 4.8.34 et 4.7.39 (Astuces du Web). Seule la branche la plus récente bénéficie toutefois d'un suivi actif (LeBigData). Si vos extensions le permettent, visez la 7.1.4.

Mettre à jour WordPress sans risque, dans le bon ordre

1. Faites une sauvegarde complète : les fichiers et la base de données, avant toute mise à jour, même mineure (Astuces du Web). Gardez-en une copie hors du serveur.
2. Fermez le dossier wp-content/upgrade au public. Sur un serveur Nginx ou Apache, cela se règle dans la configuration du serveur. Si seul le fichier .htaccess est modifiable, une ligne suffit, à placer à la racine du site, au-dessus des règles de WordPress : « RedirectMatch 403 ^/wp-content/upgrade/ » (The Hacker News). Transmettez cette consigne à votre hébergeur ou à votre prestataire. Une précaution : ne déposez pas le fichier .htaccess dans le dossier lui-même, car l'ancien programme de mise à jour vide ce dossier avant de s'en servir (The Hacker News).
3. Contrôlez le blocage. Tapez l'adresse de votre site suivie de /wp-content/upgrade/ dans un navigateur. Vous devez obtenir une erreur 403, c'est-à-dire « accès refusé » (The Hacker News). Si une liste de fichiers s'affiche, le serveur montre le contenu de ses dossiers : corrigez avant d'aller plus loin (Astuces du Web).
4. Choisissez un créneau calme. Peu de clients en ligne, et quelqu'un disponible pour surveiller le site ensuite. Ce créneau protège vos ventes si quelque chose casse, pas votre site : les robots ne dorment pas. C'est le blocage du dossier qui vous protège.
5. Lancez la mise à jour, puis vérifiez vos pages clés et votre formulaire de contact (Astuces du Web). Pour une boutique en ligne, passez une commande test jusqu'au paiement.
6. Faites le ménage. Supprimez les comptes d'anciens rédacteurs, stagiaires ou prestataires, puisque la plupart des autres failles partent d'un compte Contributeur ou Auteur (Astuces du Web). Si un changement confidentiel attendait dans l'outil Personnaliser, considérez qu'il a pu être vu, et publiez-le ou supprimez-le (Astuces du Web).

Le blocage du dossier peut rester en place après la mise à jour. Il ne gêne pas le fonctionnement normal de WordPress (The Hacker News).

Les signes qui doivent vous alerter

Si votre site s'est mis à jour seul, ou si vous avez mis à jour sans bloquer le dossier, faites vérifier ces points. Wordfence recommande de rechercher (LeBigData) (The Hacker News) :

• dans les journaux du serveur (l'historique des visites que garde votre hébergeur), des requêtes vers des fichiers PHP situés sous wp-content/upgrade ;
• des comptes administrateurs que personne ne reconnaît ;
• des extensions installées sans que vous le sachiez ;
• des fichiers PHP inconnus sur le serveur.

Un seul de ces signes suffit pour agir. Ne supprimez rien dans la précipitation : ces traces servent à comprendre ce qui s'est passé. Demandez à votre hébergeur de conserver les journaux, changez les mots de passe administrateurs, puis faites examiner le site.

Si votre site est très ancien

Les versions 4.6 et antérieures ne reçoivent plus aucun correctif (Astuces du Web). La seule issue est de migrer vers une version maintenue, après une sauvegarde complète et un essai sur une copie du site, car le saut est important (Astuces du Web). Profitez-en pour contrôler la version PHP de votre site, le langage qui fait tourner WordPress sur le serveur.

Ce que vous pouvez faire cette semaine

Ouvrez votre tableau de bord et notez votre version. Si elle n'est pas à jour, envoyez à votre prestataire la consigne de blocage du dossier, puis planifiez la mise à jour, sauvegarde comprise. Si personne ne s'occupe de votre site, l'équipe Sécurité & maintenance web de DiGit Summit peut prendre en charge ces mises à jour, les sauvegardes et la surveillance, en commençant par un audit de départ offert.

Questions fréquentes

Mon site s'est mis à jour tout seul en 7.1.4 : suis-je protégé ?

Contre la faille elle-même, oui, une fois la 7.1.4 installée. Mais la mise à jour automatique a été faite par l'ancien code, encore vulnérable pendant quelques secondes. Faites vérifier les journaux du serveur, les comptes administrateurs, les extensions et les fichiers PHP présents sous wp-content/upgrade.

Bloquer le dossier wp-content/upgrade empêche-t-il les futures mises à jour ?

Non. WordPress utilise ce dossier directement sur le disque du serveur, sans passer par le Web. Le fermer aux visiteurs ne gêne pas les mises à jour, et le blocage peut rester en place ensuite.

Mon hébergeur gère WordPress pour moi : dois-je quand même agir ?

Vérifiez au moins le numéro de version dans Tableau de bord > Mises à jour, car seul ce numéro fait foi. Demandez aussi à votre hébergeur si l'accès public au dossier wp-content/upgrade est bloqué. Le tri des anciens comptes et des brouillons de l'outil Personnaliser reste de votre ressort.

La mise à jour 7.1.4 risque-t-elle de casser mon site ?

C'est une version de sécurité, dont le but est de corriger des failles. Une sauvegarde préalable reste indispensable, surtout avec un thème ou une extension peu suivis. Après la mise à jour, testez vos pages clés, votre formulaire de contact et, pour une boutique, une commande jusqu'au paiement.

Que faire si mon site tourne sous WordPress 4.6 ou plus ancien ?

Ces versions ne reçoivent plus aucun correctif de sécurité. Il faut migrer vers une version maintenue, de préférence la 7.1.4. Faites d'abord une sauvegarde complète et un essai sur une copie du site, car le saut de version est important.

Sources

• Astuces du Web, WordPress 7.1.4 corrige 22 failles, dont une pendant la mise à jour : ce que vous devez faire (29 octobre 2026)
• LeBigData, WordPress sous attaque : près de 63 000 tentatives de piratage en seulement 24 heures (30 octobre 2026)
• The Hacker News, WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours (30 octobre 2026)
• The Hacker News, Installing the Fix for an Exploited WordPress Flaw Can Expose Some Sites One Last Time
• CISA, CISA Adds One Known Exploited Vulnerability to Catalog (3 novembre 2026)

Cet article vous a été utile ?

Pas vraiment Utile Très utile