veilletech.frCe qui se passe
L'avis GHSA-4w3m-c66w-69mg décrit une exécution de code à distance dans le cœur de WordPress, de la 4.7 à la 7.1.3. Notée 8,1 sur l'échelle CVSS, elle n'a pas de numéro CVE. La 7.1.4, publiée le 28 octobre, la corrige.
Lors d'une mise à jour complète, les nouveaux fichiers sont décompressés dans un dossier
prévisible de wp-content/upgrade, installateur compris. Quand ce dossier répond depuis le
web, une personne sans compte peut solliciter cet installateur et, si elle arrive au bon
moment, aller jusqu'à faire exécuter du PHP.
Les conditions à réunir
- un paquet complet, qui contient les fichiers d'installation ;
- un accès public, en HTTP et en PHP, à l'arborescence temporaire ;
- un chemin prévisible ou découvert ;
- assez de temps avant le nettoyage des fichiers temporaires.
Wordfence n'a observé cette fenêtre que sur quelques secondes en laboratoire. Elle n'en a pas
moins bloqué 62 969 attaques en 24 heures. Deux sources ont interrogé de petits groupes de
sites pendant environ 14 h 30, et setup-config.php revient parmi les chemins sondés. Toutes
les requêtes ne visaient pas le chemin exact, mais les essais de variantes montrent que le
principe a été vite compris.
Comment s'y prendre
Passez en 7.1.4.
Cherchez dans vos journaux les requêtes vers des fichiers PHP sous
wp-content/upgrade:Terminal grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*Contrôlez les comptes administrateurs, les extensions et les fichiers PHP inconnus.
Lecture de cette fiche, non citée par Wordfence : refuser l'exécution de PHP sous
wp-content/upgrade au niveau du serveur retire l'une des conditions ci-dessus.
Source : The Hacker News, 30 octobre 2026, qui cite Wordfence. Source en anglais.