veilletech.frCe qui se passe
Cinq avis critiques publiés par Wordfence et Patchstack touchent des extensions et thèmes WordPress à très forte diffusion. Aucune de ces failles ne demande d'être authentifié.
| CVE | Composant | CVSS | Versions touchées | Nature et condition |
|---|---|---|---|---|
| CVE-2026-82222 | GiveWP | 10.0 | ≤ 4.16.7.1 | Injection d'objet PHP → RCE. Il faut un formulaire de don publié et une passerelle de paiement active |
| CVE-2026-18431 | Avada | 9.8 | Avada ≤ 7.16 avec Fusion Builder ≤ 3.16 | Écriture de fichier arbitraire → création puis exécution de PHP |
| CVE-2026-76581 | WPMU DEV Dashboard | 9.8 | ≤ 5.0.1 | Contournement d'authentification, sur un site connecté au Hub avec SSO associé à un administrateur |
| CVE-2026-19632 | TranslatePress | 9.8 | ≤ 3.3.1 | Fuite de l'URL de réinitialisation admin, clé en clair. Enregistrement automatique des chaînes actif et locale admin sur une langue secondaire publiée |
| CVE-2026-19598 | Pods | 9.8 | ≤ 3.3.9 | Escalade jusqu'à administrateur, ou écrasement du mot de passe de n'importe quel compte |
L'échelle de diffusion : 400 000 sites pour TranslatePress, 100 000 pour Pods, un million de ventes revendiquées pour Avada.
Pourquoi ça compte
L'analyse de GiveWP par Patchstack dépasse le plugin. La faille enchaîne trois pièces : un helper de « désérialisation sûre » qui ne retire pas réellement les objets, un parcours de don qui alimente ce helper avec des données contrôlées par l'attaquant, et une chaîne de gadgets présente dans le code livré.
« Une injection d'objet PHP devient une exécution de code à distance quand trois ingrédients s'alignent : un endroit où stocker un objet sérialisé contrôlé par l'attaquant, du code qui le désérialise plus tard, et une chaîne de gadgets dans les classes chargées. » — Patchstack
Ce qu'il faut faire
- Chercher ces cinq noms dans les extensions et thèmes de chaque site hébergé, y compris ceux que plus personne ne regarde.
- Ne pas compter sur les mises à jour automatiques : elles couvrent le cœur de WordPress, rarement les extensions et thèmes premium comme Avada, qui se mettent à jour par licence.
- Sur GiveWP et Avada, inspecter les fichiers récemment écrits sous
wp-content/uploads/. Une RCE déjà exploitée laisse un.phpderrière elle, et la mise à jour n'efface pas la porte dérobée.
Source : The Hacker News (en anglais), d'après les avis Wordfence et Patchstack.