CVE-2026-87902 WordPress: votre site est vulnérable maintenant
Mise à jour WordPress 7.1.2 obligatoire: CVE-2026-87902 (CVSS 9,2) exploitée activement depuis septembre. Actions d'audit et patchs pour PME.
En bref
CVE-2026-87902 (CVSS 9,2): exécution de code à distance sur WordPress < 7.1.2. Attaques actives depuis le 22 sept 2026. • Passer immédiatement en 7.1.2 ou 7.0.6 • Vérifier les 5 CVE critiques de 2026 • Audit gratuit Aiomi pour les MSP
La situation critique: cinq CVE majeures en trois mois
Le 17 juillet 2026, wp2shell (CVE-2026-63030 et CVE-2026-60137) permet l'exécution de code à distance sans authentification, corrigée notamment dans WordPress 7.0.2 et 6.9.5. Deux mois plus tard, nous en sommes à cinq vulnérabilités critiques du noyau WordPress.
CVE-2026-87902, estampillée 9,2 sur 10 à l'échelle CVSS, peut compromettre la confidentialité et l'intégrité de vos sites. Les attaques intensives ont débuté quelques heures seulement après la publication du correctif 7.1.2. Contrairement aux déclarations habituelles, cette vulnérabilité est déjà activement exploitée en production.
Pourquoi l'urgence? La vulnérabilité permet à un attaquant non authentifié de forcer l'inclusion d'un fichier local PHP situé en dehors du répertoire du thème actif (Local File Inclusion / LFI). Sur un serveur mal configuré, cela peut devenir du code exécuté. Et le volume des attaques a été multiplié par dix en 24 heures: les attaquants vérifient d'abord la vulnérabilité, puis recherchent l'inclusion PEAR pearcmd.php, et finalement exploitent ce dernier pour injecter du code.
Action 1: patcher maintenant, pas dimanche prochain
Passez l'ensemble de vos installations WordPress en version 7.1.2 ou supérieure pour protéger votre système d'information. Si vous êtes en 6.9.x ou 7.0.x, allez en 7.1.2, 7.0.6 ou 6.9.9 selon votre version actuelle.
Deux risques parallèles: D'une part, un site running une version Core entièrement patchée peut être compromis à cause d'un seul plugin vulnérable. Les CMSs comme WordPress ne se sécurisent pas en bloc. D'autre part, si vous êtes directeur·rice d'une PME avec un site hébergé, demandez immédiatement à votre hébergeur ou agence Web de confirmer qu'il a bien patchée votre site.
Procédure rapide:
- Connectez-vous à l'admin WordPress
- Allez à Tableau de bord / Mises à jour
- Si une mise à jour est disponible, appliquez-la tout de suite
- Testez un formulaire, une page, l'accueil: assurez-vous que rien n'est cassé
- Documentez la version finale appliquée
Consultez le dashboard Aiomi pour un suivi centralisé si vous pilotez plusieurs sites.
Action 2: maîtriser l'écosystème des plugins avec l'EPSS
L'Exploit Prediction Scoring System (EPSS), développé par FIRST, est un modèle de machine learning qui assigne à chaque CVE une probabilité de score entre 0 et 1, représentant la probabilité qu'elle soit exploitée dans les 30 jours. Deux CVE à CVSS identique peuvent avoir un EPSS radicalement différent: celui avec l'EPSS haut = priorité 1.
Pour les MSP et agences gérées: l'EPSS remplace l'intuition. Une vulnérabilité avec un score CVSS de 9,8 peut être sans importance pour votre site si le plugin concerné n'est pas installé. Inversement, une CVE à 7,5 sur un plugin actif et exploité devient priorité urgente.
Implémentation ce mois:
- Téléchargez la liste des CVE WordPress du mois sur le NVD (nvd.nist.gov)
- Filtrez par EPSS supérieur à 0,5
- Associez à votre inventaire de plugins
- Ne patcher que ce qui vous touche réellement
Demandez un audit gratuit Aiomi pour auditer vos 100 premiers sites WordPress et prioriser par EPSS + plugins réellement installés.
Action 3: mettre en place un cycle patch prévisible
La situation de 2026 n'est pas anormale: elle montre que l'approche « patcher quand on peut » ne tient pas. Les attaquants analysent les patchs le weekend et exploitent lundi matin.
Cycle recommandé pour octobre-décembre 2026:
- Jour 1: Alerte CVE ou mise à jour WordPress auto. Vous êtes notifié via une liste de diffusion ou Wordfence.
- Jour 2-3: Un site de préproduction (clone du site live) reçoit d'abord le patch. Vous testez une heure: authentification, formulaires, paiement.
- Jour 4-5 (max): Patch sur le site en production pendant une maintenance.
- Jour 6: Vérification que l'exploit CVE ne fonctionne plus (scan avec Wordfence ou Sucuri).
Pour les MSP: imposez ce cycle via contrat. Documentez chaque patch dans votre système de tickets (Jira, Monday.com, Asana).
Questions fréquentes
Combien de temps avant que mon site soit piraté s'il reste en 7.0.x?
Impossible à dire: cela dépend de votre visibilité (petits blogs vs e-commerce). Mais des tentatives de reconnaissance ont été détectées moins de 5 heures après la publication du patch, et le volume augmente. Jusqu'à fin septembre, c'étaient des tests. Début octobre, c'est un scanning massif. Patcher avant 72 heures reste l'objectif.
Est-ce que les mises à jour auto de WordPress suffisent?
WordPress force les maj de sécurité depuis 2013, mais cela ne vous exonère pas de responsabilité. Les forcer empêche les vieux patchs non appliqués, mais si votre hébergeur bloque les maj ou si un plugin est incompatible, vous devez le savoir. Vérifiez toujours votre version réelle via l'admin: Tableau de bord / À propos de WordPress.
Doit-on craindre les autres CVE de l'été 2026 (wp2shell, XSS2Shell)?
Click2Shell exploite les droits d'un administrateur connecté et Comment2Shell est un commentaire malveillant exécutant du JavaScript, tous deux corrigés dans WordPress 7.1.1, 7.0.5 et 6.9.9. Si vous êtes en 7.1.2+, vous êtes protégé contre toutes les cinq. Si vous êtes en 7.0.6, vous l'êtes aussi. Vérifiez votre version: la mise à jour en 7.1.2 inclut tous les patchs antérieurs.
Comment tester qu'on n'est pas vulnérable à CVE-2026-87902?
Les défenseurs doivent se concentrer sur les modèles de requêtes HTTP associés à une traversée de répertoires anormale de page-template et à une activité filesystem ou PHP ultérieure. Concrètement: cherchez dans les logs (cPanel, OVH, AWS) des requêtes contenant des chemins comme `/page-template=../` ou `?template=`. Un WAF ou Wordfence Premium bloquera ces tentatives.