Le NCSC a publié une alerte concernant des vulnérabilités sérieuses dans WordPress Core. Deux failles ont été corrigées via des mises à jour sécurité WordPress, et l’exploitation de ces failles a été observée peu après leur publication. Si vous gérez un site sous WordPress, l’action la plus importante consiste à installer les mises à jour dès que possible afin de réduire le risque d’abus.
Dans cet article, nous reprenons l’essentiel de la situation : quelles failles sont concernées, quels versions de WordPress doivent être mises à jour et quelles options s’offrent à vous si vous ne pouvez pas déployer immédiatement les correctifs.
Pourquoi cette alerte est classée comme grave
Le NCSC indique qu’il s’agit de deux vulnérabilités corrigées qui, ensemble, présentent un niveau de risque élevé. La raison : les failles sont exploitables et, dans les premières heures qui ont suivi l’annonce, des tentatives d’exploitation ont déjà été détectées.
WordPress est un système largement utilisé pour administrer et publier des contenus. Lorsqu’une vulnérabilité touche le cœur de la plateforme, l’impact peut dépasser le simple “problème technique” : un site peut perdre sa disponibilité, subir des atteintes à la confidentialité ou être compromis.
Quelles vulnérabilités ont été corrigées
Les deux failles identifiées portent les références suivantes :
- CVE-2026-60137 (score CVSS 5.9)
- CVE-2026-63030 (score CVSS 9.8)
La plus préoccupante est CVE-2026-63030. D’après l’alerte, elle permet à un attaquant d’exécuter du code malveillant à distance via une requête HTTP spécialement construite, sans avoir besoin de se connecter.
La seconde vulnérabilité augmente encore le risque d’exploitation en élargissant les possibilités pour un acteur malveillant.
Conséquences possibles en cas d’attaque
Si une attaque réussit, les scénarios décrits par le NCSC peuvent inclure :
- le contrôle d’un site par un attaquant ;
- le vol de données ;
- la mise hors service d’un site (indisponibilité).
Au-delà de l’incident lui-même, ces conséquences peuvent entraîner des perturbations de service, des dégâts sur la réputation et des coûts liés au rétablissement du site.
Quelles versions de WordPress sont concernées
La gravité et la couverture ne sont pas identiques pour toutes les versions. Le NCSC précise les cas suivants :
Versions à mettre à jour en priorité
- WordPress 6.9 : vulnérable aux deux failles. WordPress 6.9.5 corrige les deux problèmes.
- WordPress 6.8 : vulnérable uniquement à la première faille. WordPress 6.8.6 corrige ce point.
- Version bêta de WordPress 7.1 : vulnérable aux deux failles. WordPress 7.1 beta2 corrige les deux.
Autres versions à vérifier
- Les versions WordPress 7 pour la série 7.0.2 sont vulnérables aux deux vulnérabilités.
- Les versions plus anciennes que 6.8 ne sont pas indiquées comme vulnérables dans cette alerte.
Point important : la recommandation générale du NCSC reste claire : dès que des mises à jour sécurité WordPress sont disponibles, appliquez-les au plus vite.
Ce que vous devez faire maintenant
La bonne approche dépend de votre capacité à déployer rapidement les mises à jour. Voici les actions recommandées.
1) Installez les mises à jour de sécurité
Si vous pouvez intervenir, installez immédiatement les correctifs publiés pour votre version de WordPress. Cela limite la surface d’attaque et réduit la probabilité d’exploitation.
Pour rester efficace, vérifiez ensuite que la mise à jour a bien été appliquée (par exemple, en confirmant le numéro de version installé).
2) Si vous ne connaissez pas votre version
Vous n’êtes pas certain de la version exacte de votre WordPress ? Dans ce cas, le NCSC recommande de contacter votre prestataire IT ou votre équipe d’hébergement. Ils pourront confirmer la version en place et guider l’application des correctifs.
3) Si vous ne pouvez pas mettre à jour tout de suite
Parfois, les contraintes opérationnelles empêchent un déploiement immédiat. Dans ce cas, discutez avec votre IT/développeur des mesures temporaires possibles pour réduire le risque d’exploitation.
Le NCSC ne détaille pas ici ces mesures temporaires, mais l’idée est de mettre en place des protections le temps que la mise à jour soit planifiée et validée.
Bonnes pratiques pour réduire le risque sur le long terme
Au-delà de cette alerte, une politique de sécurité réaliste repose sur quelques habitudes :
- Planifier les mises à jour pour qu’elles ne dépendent pas d’urgence permanente.
- Maintenir un inventaire : version de WordPress, environnement d’hébergement, responsabilités internes/externe.
- Tester avant déploiement si votre organisation le permet (par exemple sur un environnement de préproduction).
Ces pratiques ne remplacent pas les mises à jour sécurité WordPress, mais elles rendent la réponse aux alertes plus rapide.
Conclusion : agissez dès aujourd’hui
Le NCSC signale deux vulnérabilités corrigées dans WordPress Core, avec un accent particulier sur la faille la plus critique, exploitable à distance et sans authentification. Comme l’exploitation active a été observée après publication, la priorité est d’installer les mises à jour sécurité WordPress correspondant à votre version.
Si vous pouvez mettre à jour immédiatement, faites-le. Sinon, contactez votre équipe IT ou votre hébergeur pour confirmer la version et définir des mesures de réduction du risque en attendant. Dans tous les cas, mieux vaut prévenir tôt que subir les conséquences d’un incident.
Source: https://www.ncsc.nl/alerts/ernstige-kwetsbaarheden-in-wordpress-core-installeer-updates
