Faille critique sur WordPress : pourquoi vous devez agir dans les 48 heures

Vous avez un site WordPress pour votre entreprise, votre boutique en ligne ou votre association. Vous le gérez peut-être vous‑même ou vous l’avez confié à un prestataire. Et vous vous dites : « Les mises à jour, ce n’est pas urgent, ça peut attendre la semaine prochaine. » Détrompez-vous.

Une faille de sécurité critique vient d’être découverte dans un plugin d’inscription utilisé par plus de 60 000 sites dans le monde. Les pirates l’exploitent déjà activement. Si votre site utilise ce plugin, un attaquant peut devenir administrateur sans même connaître votre mot de passe. Le temps que vous lisiez ces lignes, des dizaines de sites sont déjà compromis.

Cette vulnérabilité, référencée CVE-2026-1492 (ordre de grandeur volontairement modifié pour l’exemple), concerne le plugin « User Registration & Membership » dans ses versions antérieures à la 5.1.3. Le défaut se situe dans la fonction d’inscription. Normalement, seuls les visiteurs s’inscrivent avec un rôle limité (abonné). Mais à cause d’une mauvaise vérification des droits, n’importe qui peut envoyer une requête spéciale pour s’auto‑attribuer le rôle d’administrateur. Une fois administrateur, l’attaquant peut modifier votre contenu, voler vos données clients, rediriger vos visiteurs vers des sites frauduleux, ou même effacer tout votre site. Aucune interaction humaine n’est nécessaire. Tout se fait par une simple requête automatisée.

Partout dans le monde, des milliers de sites sont vulnérables. Les propriétaires de petites entreprises, les blogs, les boutiques en ligne, les sites associatifs – tous sont des cibles potentielles. La raison est toujours la même : on néglige les mises à jour. Un site piraté, c’est plusieurs jours d’indisponibilité, une perte de confiance des clients, et des frais de réparation bien plus élevés qu’une simple mise à jour.

Alors que faire, concrètement, dès maintenant ?

Première action : vérifiez si vous utilisez le plugin vulnérable.

Connectez-vous à votre administration WordPress. Allez dans « Extensions » puis « Extensions installées ». Cherchez « User Registration & Membership ». Si vous ne l’avez pas, vous êtes tranquille sur cette faille précise. Mais restez vigilant : d’autres vulnérabilités peuvent exister. Si vous l’avez, notez le numéro de version.

Deuxième action : mettez à jour immédiatement.

Les versions antérieures à la 5.1.3 sont vulnérables. La version corrigée est la 5.1.3 (la 5.1.4 est la plus récente). Dans votre tableau de bord, si une mise à jour est proposée, cliquez sur « Mettre à jour ». Si rien ne s’affiche, vérifiez manuellement en allant dans le détail de l’extension. Si vous êtes en version inférieure à 5.1.3 et qu’aucune mise à jour ne vous est proposée, téléchargez la nouvelle version depuis le site officiel ou supprimez l’extension le temps de trouver une alternative.

Troisième action : renforcez la sécurité de votre site.

Activez les mises à jour automatiques pour tous vos plugins de confiance. Dans WordPress, allez dans « Extensions » et cliquez sur « Activer les mises à jour automatiques » pour chaque extension essentielle. Ensuite, désinstallez les plugins que vous n’utilisez plus. Un plugin inactif peut aussi présenter des failles.

Enfin, installez un plugin de sécurité (Wordfence, Solid Security, Sucuri). Ils vous alertent des tentatives d’intrusion et bloquent les adresses IP malveillantes.

Prenons un cas concret qu’un ami développeur m’a raconté. Il y a quelques mois, un client qui tient une boutique de vêtements en ligne a failli perdre tout son site. Il utilisait la version 5.1.2 du plugin vulnérable. Un attaquant a tenté de s’inscrire comme administrateur. Heureusement, le prestataire de ce client avait installé un pare‑feu qui a détecté la requête suspecte et bloqué l’IP. Mais si le pare‑feu n’avait pas été là, le pirate aurait pris le contrôle. Son client a immédiatement mis à jour le plugin. Il a aussi activé la double authentification pour son compte administrateur. Depuis, plus d’incident. Ce réflexe lui a évité des semaines de travail perdu.

Vous n’êtes pas un expert technique ? Pas de panique. Voici une routine simple à appliquer une fois par mois : connectez-vous à votre site, allez dans le tableau de bord, vérifiez les notifications de mise à jour. Appliquez toutes les mises à jour de WordPress, du thème et des plugins. Avant de faire les mises à jour, faites une sauvegarde. Vous pouvez utiliser un plugin comme UpdraftPlus pour sauvegarder automatiquement sur Google Drive, Dropbox ou un serveur distant. Si une mise à jour casse quelque chose, vous pourrez revenir en arrière en quelques clics.

Certains chefs d’entreprise me disent : « Je n’ai pas le temps, je préfère payer quelqu’un pour la maintenance. » C’est une excellente option. Faites appel à un professionnel pour un contrat de maintenance préventive et curative mensuel ou annuel. Comparez le coût modeste d’une maintenance régulière au coût d’une attaque : site inaccessible pendant une semaine, perte de chiffre d’affaires, réputation écornée, frais de dépannage d’urgence souvent bien plus élevés.

La faille dont nous parlons est colmatée. Mais demain, une autre apparaîtra. La cybersécurité d’un site web ne se résume pas à un bon mot de passe. C’est un processus continu de mises à jour, de sauvegardes et de surveillance.

curl -X POST https://cible.com/wp-json/user-registration/v1/register \
  -H "Content-Type: application/json" \
  -d '{
    "user_email": "Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.",
    "user_pass": "MotDePasse123",
    "role": "administrator"
  }'

192.168.1.100 - - [06/Jun/2026:10:15:22 +0000] "POST /wp-json/user-registration/v1/register HTTP/2.0" 201 1234
192.168.1.100 - - [06/Jun/2026:10:15:23 +0000] "POST /wp-login.php HTTP/2.0" 302 -

// Fichier : includes/class-ajax.php (version ≤ 5.1.2)
public function register_user($request) {
    $email = $request->get_param('user_email');
    $password = $request->get_param('user_pass');
    $role = $request->get_param('role'); // non vérifié !
    
    $user_id = wp_create_user($email, $password, $email);
    if (!is_wp_error($user_id)) {
        $user = new WP_User($user_id);
        $user->set_role($role);
    }
}