Bulletin sécurité WordPress — semaine 44

PHP2Shell, une faille critique de PHP, se corrige chez l'hébergeur et non dans WordPress. Ninja Forms et WPC Product Bundles servent à installer des administrateurs cachés, et des clés UpdraftPlus ont été dérobées : voici qui est concerné et quoi faire.

Publié le 26 octobre 2026 · Période couverte : du 19 au 26 octobre 2026 · Par WP Alex, webmaster WordPress depuis 2013

📌 À retenir cette semaine

  • Une faille critique de PHP, le langage qui fait tourner WordPress, se corrige chez l’hébergeur et non dans WordPress.
  • Deux extensions populaires, Ninja Forms et WPC Product Bundles, sont exploitées pour installer des administrateurs cachés.
  • Mettre à jour une extension ne retire pas une porte dérobée déjà installée.

🔴 PHP2Shell : une faille critique dans PHP

Gravité : 🔴 Critique (CVSS 9,2) · Exploitée activement : les sources divergent · Correctif : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12

Ce qui se passe

PHP2Shell désigne deux failles de PHP (CVE-2026-109618 et CVE-2026-109619), publiées le 21 octobre 2026, qui peuvent permettre de prendre le contrôle d’un serveur sans aucun identifiant. Les avis divergent sur l’exploitation réelle : watchTowr la signale, tandis que Sansec et Bitdefender la jugent difficile à reproduire à grande échelle. WordPress.org demande de mettre PHP à jour immédiatement. L’attaque visant PHP lui-même, une extension de sécurité WordPress ne suffit pas à la bloquer.

Qui est concerné ?

Tous les sites dont le serveur utilise une version de PHP antérieure aux versions corrigées, et en priorité ceux encore en PHP 8.1 ou plus ancien, qui ne reçoivent plus de mises à jour officielles.

Que faire ?

  • Demandez à votre hébergeur si PHP a été corrigé sur votre serveur. Le numéro de version seul ne suffit pas : certains hébergeurs corrigent sans changer de numéro.
  • Si votre site tourne encore en PHP 8.1 ou plus ancien, prévoyez une montée de version.
  • Sur un serveur VPS ou dédié, la mise à jour vous revient.

🔴 Ninja Forms et WPC Product Bundles : des administrateurs cachés

Gravité : 🔴 Critique · Exploitée activement : oui, depuis début octobre · Correctif : Ninja Forms 3.15.4, WPC Product Bundles 8.6.7

Ce qui se passe

Ninja Forms est une extension de formulaires installée sur plus de 500 000 sites WordPress. Selon Patchstack (6 octobre 2026), des pirates exploitent une faille de type XSS stockée : ils envoient un formulaire piégé. Quand un administrateur le consulte, le code s’exécute dans sa session et ouvre quatre accès : un administrateur visible, un administrateur caché, un lien de connexion sans mot de passe et un gestionnaire de fichiers. Mettre l’extension à jour ne referme que la première porte.

Qui est concerné ?

Les sites qui utilisent Ninja Forms en version 3.15.3 ou antérieure, ou WPC Product Bundles for WooCommerce en version 8.6.6 ou antérieure.

Que faire ?

  • Mettez à jour l’extension concernée sans attendre.
  • Vérifiez la liste des administrateurs : tout compte inconnu, surtout avec une adresse se terminant par « @wordpress.org », est suspect.
  • Cherchez une extension que vous n’avez pas installée, par exemple « WP Smart Thumbnails ».
  • En cas de doute, faites analyser le site : un compte caché n’apparaît pas toujours dans l’administration.

🟠 UpdraftPlus : des clés d’accès dérobées chez l’éditeur

Gravité : 🟠 Élevée · Exploitée activement : oui, les 18 et 19 octobre · Correctif : UpdraftPlus 1.26.13 (gratuit) ou 2.26.13 (Premium), plus la révocation des clés

Ce qui se passe

UpdraftPlus est l’une des extensions de sauvegarde WordPress les plus utilisées. Son éditeur, TeamUpdraft, a subi une intrusion, exploitée les 18 et 19 octobre 2026. Selon des sources secondaires, sa base clients contenait des clés permettant de piloter des sites à distance (UpdraftCentral), mais aussi les clés des services de sauvegarde distante et de clonage. WP Umbrella note que les adresses IP des attaquants ont changé en moins d’une journée : les bloquer ne suffit pas. La cause de l’intrusion n’est pas encore publiée.

Qui est concerné ?

Les sites qui utilisent UpdraftPlus, en particulier ceux reliés à UpdraftCentral, UpdraftVault ou UpdraftClone.

Que faire ?

  • Mettez à jour UpdraftPlus vers la version 1.26.13 ou 2.26.13.
  • Supprimez les connexions UpdraftCentral et régénérez les clés des services Updraft que vous utilisez : la mise à jour seule ne le fait pas pour tout.
  • Vérifiez qu’aucun administrateur ni aucune extension inconnus ne sont apparus depuis le 18 octobre.

💡 Le bon réflexe de la semaine

Une mise à jour corrige la faille, mais elle ne fait pas le ménage. Après chaque alerte de sécurité, prenez deux minutes pour relire la liste des administrateurs et celle des extensions installées. Un compte ou une extension que vous ne reconnaissez pas mérite toujours une vérification.

Gardez aussi une sauvegarde récente, stockée hors de votre hébergement : c’est elle qui permet de repartir d’un site sain. Notre article sur Swiss Backup, la sauvegarde souveraine explique comment faire.

❓ Questions fréquentes

Qu’est-ce que PHP2Shell ?

PHP2Shell est le nom donné à deux failles critiques de PHP (CVE-2026-109618 et CVE-2026-109619), publiées le 21 octobre 2026. Elles peuvent permettre de prendre le contrôle d’un serveur sans identifiant. On les corrige en mettant PHP à jour (8.2.35, 8.3.36, 8.4.27 ou 8.5.12), ce qui se fait en général chez l’hébergeur.

Je n’utilise aucune de ces extensions : suis-je tranquille ?

Pas pour PHP2Shell : cette faille touche le serveur, quelles que soient les extensions installées. Vérifiez auprès de votre hébergeur que PHP a bien été corrigé.

Comment savoir si un administrateur caché a été créé sur mon site WordPress ?

Relisez la liste des administrateurs et méfiez-vous de tout compte inconnu, en particulier avec une adresse en « @wordpress.org ». Attention : du code malveillant peut masquer un compte dans cette liste. Seule une vérification directe dans la base de données le révèle avec certitude.

Une mise à jour suffit-elle après un piratage ?

Non. La mise à jour ferme la faille, mais elle ne supprime ni les comptes, ni les fichiers, ni les accès installés par le pirate. Après une compromission, il faut aussi nettoyer le site, changer les mots de passe et révoquer les clés d’accès.

📚 Sources

🛡️ Votre site est-il concerné ?

WP Alex surveille et maintient des sites WordPress et WooCommerce depuis 2013. On vérifie le vôtre ensemble ?

Contact & RDV