Vulnérabilités WordPress : le CERT-FR appelle à une mise à jour

Sommaire

Les vulnérabilités WordPress révélées le 20 juillet 2026 doivent être prises au sérieux par toutes les entreprises, associations et collectivités utilisant ce système de gestion de contenu. Le CERT-FR alerte sur deux failles affectant directement le cœur de WordPress. Lorsqu’elles sont exploitées conjointement, elles peuvent permettre à une personne non authentifiée d’exécuter du code à distance sur le serveur hébergeant le site.

A lire aussi sur DPO PARTAGE

Pixels de suivi : le délai de la CNIL a expiré

Gestion Stratégique des Vulnérabilités : Le Rôle du VOC et l’Unification de la Défense Proactive

Pixels de suivi email : quand faut-il un consentement ?

Cette situation ne concerne donc pas seulement les sites ayant installé une extension douteuse ou un thème insuffisamment maintenu. Les vulnérabilités se trouvent dans WordPress Core, c’est-à-dire dans le socle même du logiciel.

Une preuve de concept étant désormais publique, le CERT-FR anticipe des tentatives d’exploitation en masse. La mise à jour ne doit plus être considérée comme une opération de maintenance pouvant être reportée. Elle constitue une mesure de sécurité urgente.

Deux vulnérabilités susceptibles d’être combinées

La première vulnérabilité, référencée CVE-2026-60137, permet une injection SQL. Ce type de faille peut conduire à l’exécution de requêtes non autorisées dans la base de données du site.

La seconde, référencée CVE-2026-63030, permet de contourner certaines règles de sécurité associées à l’API REST de WordPress. D’après les informations publiées, la combinaison des deux vulnérabilités peut aboutir à une exécution de code arbitraire à distance sur les versions 6.9 et ultérieures.

L’attaquant n’a pas besoin de disposer d’un compte utilisateur ou d’un accès préalable à l’administration. Il peut agir à distance contre un site accessible depuis Internet.

WordPress indique que la version 6.8 doit être mise à jour vers la version 6.8.6, la branche 6.9 vers la version 6.9.5 et la branche 7.0 vers la version 7.0.2. La version bêta 7.1 doit, quant à elle, être remplacée par la version 7.1 bêta 2. Les versions antérieures à WordPress 6.8 ne sont pas concernées par ces deux vulnérabilités particulières, mais elles peuvent rester exposées à d’autres failles si elles ne sont plus correctement maintenues.

En raison de la gravité de la situation, l’équipe de WordPress a activé des mises à jour automatiques forcées pour les installations affectées qui peuvent les recevoir. Cette mesure ne dispense pas chaque responsable de vérifier la version réellement installée. Une mise à jour automatique peut échouer en raison de la configuration du serveur, des droits d’accès, d’une incompatibilité ou d’un mécanisme de mise à jour désactivé.

Installer le correctif ne permet pas de savoir si le site a déjà été compromis

Le CERT-FR recommande d’appliquer les correctifs dans les plus brefs délais. Si cette mise à jour ne peut pas être effectuée immédiatement, un filtrage temporaire peut être mis en place au moyen d’un pare-feu applicatif.

Les chercheurs recommandent notamment de bloquer l’accès non authentifié au chemin /wp-json/batch/v1 ainsi que les requêtes contenant le paramètre rest_route=/batch/v1. Cette mesure peut toutefois perturber certaines fonctions légitimes du site. Elle doit donc rester provisoire et ne remplace pas la mise à jour officielle.

Il faut surtout comprendre que l’installation du correctif ferme la porte à de nouvelles exploitations, mais n’efface pas une éventuelle intrusion antérieure. Après la mise à jour, une vérification du site reste nécessaire. Les comptes administrateurs, les fichiers récemment modifiés, les journaux de connexion, les redirections inhabituelles et les éventuelles modifications de formulaires doivent être contrôlés.

Une sauvegarde saine et antérieure à l’incident peut également devenir indispensable. Encore faut-il qu’elle existe, qu’elle soit isolée du serveur compromis et que sa restauration ait déjà été testée.

Une attaque WordPress peut devenir une violation de données personnelles

Un site WordPress ne contient pas uniquement des pages de présentation. Il peut conserver des demandes de contact, des coordonnées de prospects, des inscriptions à une lettre d’information, des comptes clients, des commandes, des prises de rendez-vous, des commentaires ou des données relatives à des adhérents et à des salariés.

Les journaux techniques comportent également des données personnelles, notamment des adresses IP, des identifiants de connexion et des informations relatives à l’activité des utilisateurs.

Une prise de contrôle du site peut permettre de consulter, modifier, extraire ou supprimer ces informations. L’attaquant peut également remplacer un formulaire afin que les données saisies soient transmises vers un autre serveur. L’entreprise peut alors continuer à recevoir normalement les demandes tout en ignorant qu’une copie est adressée à un tiers.

Dans une telle situation, l’incident de sécurité peut constituer une violation de données personnelles au sens du RGPD. Le responsable du traitement doit déterminer quelles données ont été affectées, quelles personnes sont concernées et quelles conséquences peuvent en résulter.

Si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, une notification à la CNIL doit être réalisée, si possible, dans les 72 heures suivant le moment où le responsable du traitement en a pris connaissance. Lorsque le risque est élevé, les personnes concernées doivent également être informées, sauf si l’une des exceptions prévues par le RGPD peut être démontrée.

Même en l’absence de notification à la CNIL, l’incident doit être documenté. L’entreprise doit conserver les éléments ayant permis de conclure que la violation ne présentait pas un niveau de risque justifiant une notification.

La sécurité du site fait partie de la conformité au RGPD

L’article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Maintenir un site WordPress à jour, limiter les comptes administrateurs, utiliser une authentification renforcée, surveiller les vulnérabilités et disposer de sauvegardes exploitables participent directement au respect de cette obligation.

Lorsqu’une vulnérabilité critique est rendue publique et qu’un correctif est disponible, l’absence de mise à jour devient particulièrement difficile à justifier. Cette situation est encore plus sensible lorsque le CERT-FR signale une preuve de concept publique et anticipe des attaques automatisées.

La responsabilité ne peut pas systématiquement être reportée sur l’agence web, l’hébergeur ou le prestataire chargé de la maintenance. Le responsable du traitement doit s’assurer que les missions de chacun sont définies contractuellement et que les opérations indispensables sont réellement exécutées.

Il doit notamment savoir qui installe les mises à jour, qui surveille les alertes de sécurité, qui contrôle les sauvegardes et qui intervient en cas d’incident. Une clause contractuelle ne suffit pas si aucun contrôle ne permet de vérifier que les obligations sont respectées.

Un site sécurisé n’est pas nécessairement conforme

La correction de ces vulnérabilités est indispensable, mais elle ne rend pas automatiquement le site conforme au RGPD.

Un site peut être techniquement sécurisé tout en déposant des traceurs publicitaires avant le consentement de l’utilisateur. Il peut utiliser des formulaires trop intrusifs, conserver les demandes sans limitation de durée ou transmettre des données à des services tiers sans information suffisante.

À l’inverse, une bannière de gestion des cookies correctement présentée ne protège pas le site contre une intrusion. La sécurité et la conformité juridique répondent à des objectifs différents, même si elles participent toutes les deux à la protection des données personnelles.

La conformité doit porter sur le fonctionnement réel du site. Il ne suffit pas d’afficher une politique de confidentialité ou de proposer un bouton permettant de refuser les cookies. Il faut vérifier les traceurs effectivement déposés, les informations collectées par les formulaires, les services chargés depuis des domaines tiers, les durées de conservation et les éventuels transferts de données hors de l’Espace économique européen.

Notre plugin accompagne la mise en conformité RGPD des sites WordPress

Pour faciliter cette démarche, DPO France propose un plugin d’audit et de mise en conformité RGPD destiné aux sites WordPress.

Son objectif est d’aider l’exploitant du site à identifier les points devant être vérifiés et à organiser sa démarche de conformité depuis son environnement WordPress. Cette approche permet de dépasser la simple installation d’une bannière de cookies et de s’intéresser au fonctionnement concret du site.

Le plugin ne remplace pas la mise à jour de WordPress, un pare-feu applicatif ou une solution spécialisée dans la cybersécurité. Il intervient sur un autre volet : l’identification et le traitement des obligations liées au RGPD.

Il ne constitue pas davantage une garantie automatique de conformité. Aucun outil ne peut, à lui seul, connaître l’ensemble des traitements réalisés par une entreprise, ses contrats, ses durées de conservation ou son organisation interne. Le plugin apporte une assistance structurée, mais la conformité finale reste sous la responsabilité de l’organisme qui exploite le site.

L’alerte du CERT-FR montre précisément pourquoi ces deux dimensions doivent être rapprochées. La sécurité protège les données contre les accès non autorisés. La démarche RGPD détermine quelles données peuvent être collectées, pourquoi elles le sont, combien de temps elles sont conservées et comment les personnes peuvent exercer leurs droits.

La conformité d’un site WordPress doit être entretenue

Un site ne reste pas conforme simplement parce qu’il a fait l’objet d’un audit lors de sa création. Son environnement évolue continuellement. De nouvelles extensions sont installées, des formulaires sont ajoutés, des outils statistiques changent et des vulnérabilités sont régulièrement découvertes.

La protection des données doit donc être intégrée à la maintenance courante du site. Les mises à jour de sécurité, la vérification des traceurs, la révision des mentions d’information et le contrôle des prestataires doivent être organisés et documentés.

L’urgence consiste aujourd’hui à mettre WordPress à jour et à rechercher les éventuels signes d’une compromission. La prochaine étape consiste à vérifier que le site respecte réellement le RGPD. Reporter l’une de ces deux démarches revient à laisser subsister une partie du risque.

Mot-clé proposé : vulnérabilités WordPress.