Failles WordPress 2026 : 3 alertes majeures en 3 mois, comment protéger votre site

1. Points clés à retenir

• Trois alertes en trois mois : wp2shell (juillet), Click2Shell (17 septembre) et CVE-2026-87902 (22 septembre).
• Les attaques sont rapides : pour la dernière faille, les premières tentatives ont été repérées quelques heures après la sortie du correctif.
• Vous n'avez pas besoin d'être visé pour être touché : des robots testent tous les sites, il suffit d'avoir une mise à jour de retard.
• La mise à jour automatique ne suffit pas toujours : vérifiez qu'elle a bien été appliquée.
• Six réflexes protègent l'essentiel : mises à jour, ménage dans les extensions, sauvegardes hors serveur, double authentification, pare-feu, surveillance.

2. Ce qui s'est passé : trois alertes en trois mois

wp2shell, juillet

Deux failles enchaînées permettaient de prendre la main sur un site, sans extension particulière. Elles touchaient WordPress 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1. WordPress.org a forcé la mise à jour automatique des sites concernés. Des attaques réelles ont pourtant été constatées entre le 18 et le 20 juillet.

Click2Shell, 17 septembre

Un lien piégé amène le navigateur d'un administrateur connecté à installer un thème. Combinée à un thème lui-même vulnérable, la faille peut aller jusqu'à l'exécution de code. La version 7.1.1 la corrige, avec une faille sœur baptisée Comment2Shell.

CVE-2026-87902, 22 septembre

Notée 9,2/10, elle concerne toutes les versions de 4.7.0 à 7.1.1. Elle mène à une prise de contrôle seulement sous certaines conditions de configuration. Elle a été ajoutée le 25 septembre au catalogue des failles exploitées de l'agence américaine CISA.

Et en octobre ?

WordPress a publié la version 7.1.3 le 6 octobre 2026 : sept correctifs de sécurité et quatre corrections de bugs. WordPress recommande de l'installer sans attendre.

3. Pourquoi votre TPE est concernée

Beaucoup de dirigeants pensent : « Mon site est trop petit pour intéresser un pirate. » C'est une erreur. Les attaques sont automatiques.

Dès qu'une faille est publiée, des robots parcourent le web à la recherche de sites non mis à jour. Pour CVE-2026-87902, Kaspersky indique que les premières tentatives ont été détectées quelques heures après la sortie du correctif. Pour wp2shell, un code d'attaque public est apparu dans les heures suivantes, puis des portes dérobées ont été installées sur des serveurs.

À retenir : on n'a pas besoin d'être ciblé. Il suffit d'être en retard d'une mise à jour.

4. Votre site est-il exposé ? La vérification en 3 minutes

1. La version de WordPress. Dans l'administration, menu Tableau de bord, puis Mises à jour. Sur la dernière branche, vous devez être au minimum en 7.1.2, idéalement sur la toute dernière version disponible.
2. Les extensions et thèmes. Même page : une pastille rouge signale des mises à jour en attente. Notez aussi les extensions désactivées ou plus maintenues depuis longtemps.
3. La date de la dernière sauvegarde. Savez-vous où elle se trouve, et si elle est stockée ailleurs que sur votre serveur ? Si la réponse est non, c'est votre priorité.

Si votre site est trop ancien pour être mis à jour sans casse, repartir sur une base saine peut être plus sûr que des rustines successives. C'est l'un de nos métiers : la création et la refonte de sites internet à Melun.

5. Les 6 bons réflexes pour sécuriser WordPress

1. Mettre à jour sans attendre. Cœur de WordPress, thèmes et extensions. Activez les mises à jour automatiques, puis vérifiez qu'elles se sont bien appliquées.
2. Faire le ménage dans les extensions. Chaque extension est une porte possible. Supprimez celles que vous n'utilisez plus, ne vous contentez pas de les désactiver.
3. Sauvegarder hors serveur. Une sauvegarde stockée au même endroit que le site peut disparaître avec lui. Gardez des copies régulières ailleurs.
4. Activer la double authentification. Un code sur téléphone en plus du mot de passe complique fortement l'accès à l'administration.
5. Installer un pare-feu applicatif. Il filtre une partie des requêtes malveillantes avant qu'elles n'atteignent le site.
6. Surveiller. Une alerte en cas de modification suspecte ou d'indisponibilité permet de réagir vite. Et face à Click2Shell : ne cliquez pas sur des liens inconnus lorsque vous êtes connecté en administrateur.

6. Mon site a été piraté : que faire ?

Signes typiques : pages modifiées, redirections vers des sites inconnus, alerte de Google, comptes administrateurs que vous n'avez pas créés.

1. Ne paniquez pas et ne supprimez rien : les fichiers aident à comprendre l'attaque.
2. Prévenez votre hébergeur, qui peut isoler le site.
3. Changez tous les mots de passe : administration, hébergement, base de données, messagerie.
4. Restaurez une sauvegarde saine, antérieure à l'attaque, puis mettez tout à jour immédiatement.
5. Faites contrôler le site pour repérer d'éventuelles portes dérobées laissées par l'attaquant.

Si des données de clients ont pu être exposées, renseignez-vous sur vos obligations de déclaration.

8. FAQ — Faille WordPress 2026

Les questions que nous posent le plus souvent les dirigeants après ces alertes.

WordPress s'est mis à jour tout seul : suis-je protégé ?

Pas forcément. Pour wp2shell, la mise à jour a été forcée, mais il est conseillé de vérifier qu'elle a bien été appliquée. Contrôlez votre version dans le menu Mises à jour.

Quelle version de WordPress dois-je avoir ?

La plus récente disponible. Sur la dernière branche, au minimum la 7.1.2, qui corrige CVE-2026-87902. La 7.1.3, sortie le 6 octobre 2026, ajoute sept correctifs de sécurité.

Mon petit site vitrine intéresse-t-il vraiment les pirates ?

Oui. Les attaques sont menées par des robots qui testent tous les sites, sans distinction de taille. Un retard de mise à jour suffit.

Les extensions sont-elles aussi un risque ?

Oui. Chaque extension ajoute du code qui peut contenir une faille. Gardez uniquement celles que vous utilisez et mettez-les à jour régulièrement.