Réponse courte. Trois failles sont exploitées en ce moment sur des sites WordPress. La plus grave touche PHP lui-même (PHP2Shell, publiée le 21 octobre 2026) ; une autre touche le cœur de WordPress (septembre 2026) ; la troisième, l'extension Bricksforge. Dans les trois cas, la seule protection documentée est la mise à jour. Si votre site n'a pas été mis à jour depuis début octobre, faites-le aujourd'hui, ou demandez-le à votre hébergeur.
Cette page est une veille datée : elle décrit la situation au 27 octobre 2026. Les versions corrigées viennent des avis des éditeurs, cités en bas de page ; vérifiez-les avant d'agir, car les correctifs continuent d'arriver.
1. PHP2Shell : la faille du langage PHP
Ce qui se passe. Deux failles du langage PHP, CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant d'exécuter du code sur le serveur sans s'authentifier. Le projet PHP a publié un correctif en urgence le 21 octobre 2026. Des exploitations ont été observées dans la foulée, et l'agence américaine de cybersécurité (CISA) a ajouté les deux failles à son catalogue des vulnérabilités exploitées le 26 octobre.
Qui est concerné. Tous les sites qui tournent sur PHP 8, donc la quasi-totalité des sites WordPress, quelle que soit la version de WordPress.
Ce qu'il faut faire. Passer à une version corrigée de PHP : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, selon votre branche. Les versions 8.1 et antérieures ne reçoivent plus de correctif du projet PHP : il faut passer en 8.2 ou plus, ou compter sur un correctif de votre distribution.
Sur un hébergement mutualisé, ce n'est pas vous qui mettez PHP à jour, c'est l'hébergeur. Vérifiez la version dans votre espace client, et changez-la si l'hébergeur le permet.
2. La faille du cœur de WordPress
Ce qui se passe. La faille CVE-2026-87902, corrigée le 22 septembre 2026, est une traversée de répertoires qui peut mener à l'exécution de code, mais seulement quand certaines conditions de serveur et de thème sont réunies. Des tentatives d'exploitation ont commencé quelques heures après sa publication.
Qui est concerné. D'après WordPress, toutes les versions de 4.7.0 à 7.1.1 qui n'ont pas reçu le correctif.
Ce qu'il faut faire. Passer en WordPress 7.1.2. Si votre site reste sur une branche plus ancienne, installez sa dernière version de sécurité : WordPress a reporté le correctif sur toutes les branches depuis la 4.7. Aucun contournement n'est documenté : la mise à jour est la seule protection.
3. L'extension Bricksforge
Ce qui se passe. La faille CVE-2026-85097 permet à un attaquant non authentifié d'envoyer puis d'exécuter un fichier PHP sur le site. Patchstack a observé les premières tentatives d'exploitation le 7 octobre 2026.
Qui est concerné. Les sites qui utilisent Bricksforge, une extension du constructeur de pages Bricks, en version 3.1.8.9 ou antérieure.
Ce qu'il faut faire. Passer en 3.1.8.10 au moins, ou à la dernière version de la branche 4. Si vous n'utilisez plus l'extension, supprimez-la : une extension désactivée mais présente reste un fichier qu'on peut attaquer. Attention : la mise à jour bloque les nouvelles attaques, mais ne retire pas un fichier déjà déposé. Vérifiez le dossier des fichiers envoyés (wp-content/uploads).
Les autres failles exploitées cette année
D'autres extensions ont été visées en 2026, longtemps après la publication de leur correctif : WooCommerce Wholesale Lead Capture (CVE-2026-27540), Everest Forms Pro (CVE-2026-3300) et Gravity SMTP (CVE-2026-4020). Le schéma est toujours le même : le correctif existe, mais le site n'a pas été mis à jour.
Dans quel ordre mettre à jour
- Faites une sauvegarde complète, fichiers et base de données, et vérifiez qu'elle se restaure.
- Mettez PHP à jour, ou faites-le faire par l'hébergeur.
- Mettez WordPress à jour, puis le thème, puis chaque extension.
- Supprimez les extensions et les thèmes inutilisés.
- Vérifiez que le site n'a pas déjà été touché : comptes administrateurs inconnus, pages que vous n'avez pas créées dans le sitemap. Notre guide sur les pages casino cachées montre comment faire.
Questions fréquentes
Mon site est petit, est-il vraiment visé ?
Oui. Ces attaques sont automatiques : des robots parcourent internet à la recherche de versions vulnérables, sans regarder la taille du site. Un petit site mal tenu est même une cible commode, parce que personne ne le surveille.
Mettre à jour peut-il casser mon site ?
Parfois, surtout quand le site n'a pas été mis à jour depuis longtemps. C'est pour ça qu'on commence par une sauvegarde, et qu'on met à jour dans l'ordre. Le risque d'une mise à jour est bien plus faible que celui d'une faille exploitée.
Comment savoir si mon site a déjà été piraté ?
Regardez votre sitemap, la liste des comptes administrateurs et les résultats d'une recherche « site:votre-domaine.fr » sur Google. Si quelque chose ne vous ressemble pas, consultez notre page site WordPress piraté : nettoyage et sécurité.
Sources
- The PHP Foundation, Today's PHP Security Release, and How We're Strengthening PHP Security (21 octobre 2026)
- CISA, Critical Vulnerabilities in PHP Require Immediate Patching (21 octobre 2026)
- Qualys, PHP2Shell: Find, Mitigate, and Patch Now
- Datadog Security Labs, PHP2Shell, critical vulnerabilities in PHP
- Patchstack, CVE-2026-87902: attackers started probing WordPress sites hours after the patch
- Help Net Security, WordPress 7.1.2 fixes critical unauthenticated path traversal vulnerability (23 septembre 2026)
- Patchstack, Critical unauthenticated arbitrary file upload vulnerability exploited in Bricksforge plugin
- SecurityWeek, Bricksforge WordPress plugin vulnerability exploited in the wild