Skip to content
Hacker Posts

WordPress 7.1.4 : RCE, DoS et XSS corrigés par le cœur (AVI-1420)

Le CERT-FR relaie l'avis AVI-1420 : WordPress 7.1.4 corrige plusieurs failles (RCE, DoS, XSS, confidentialité). Aucune CVE attribuée ni exploitation signalée. Mettez à jour.

Publié le 2 min de lecture
wordpressalerteanssicmsrce

Le CERT-FR a publié le 29 octobre 2026 l'avis CERTFR-2026-AVI-1420, qui relaie la publication WordPress 7.1.4 du 28 octobre. Les impacts retenus par l'ANSSI : exécution de code arbitraire à distance, déni de service à distance, injection de code indirecte à distance (XSS), atteinte à la confidentialité des données et contournement de la politique de sécurité. Aucune exploitation active n'est mentionnée.

Ce que l'on sait — et ce qu'on ne sait pas

  • Versions concernées : toutes les versions de WordPress antérieures à 7.1.4.
  • Correctif : WordPress 7.1.4, publiée comme version de sécurité par le projet.
  • Pas de CVE : ni l'avis du CERT-FR ni le bulletin WordPress n'attribuent d'identifiant CVE, et aucun score CVSS n'est fourni. WordPress ne détaille pas non plus publiquement le mapping faille par faille. C'est le mode habituel des correctifs de sécurité du cœur WordPress — l'information précise arrive après, le temps que le parc se mette à jour.

La description reste donc volontairement générique côté éditeur, pour ne pas armer un rétro-engineering avant que la diffusion automatique ne couvre la majorité des sites.

Que faire

  1. Vérifiez votre version (Tableau de bord › Mises à jour, ou wp core version en CLI) et passez en 7.1.4.
  2. Sites en mises à jour automatiques : les versions mineures du cœur s'installent par défaut toutes seules — confirmez simplement que 7.1.4 est bien appliquée et que l'auto-update n'a pas été désactivée.
  3. Sites gérés / versions figées (hébergement managé, déploiements verrouillés, git-based) : planifiez la montée en version manuellement, c'est là que le retard s'accumule.
  4. Plugins et thèmes : la mise à jour du cœur ne couvre pas les extensions — c'est historiquement par là que passent la plupart des compromissions WordPress.

Pour mettre en perspective

La cadence de sécurité du cœur WordPress est soutenue : 7.1.3 début octobre (sept correctifs de sécurité), une « Critical PHP Security Release » le 21 octobre, puis 7.1.4 le 28. Pour un CMS qui motorise une large part du web, chaque version mineure est un rendez-vous à ne pas manquer — mais le risque réel, sur le terrain, reste massivement du côté des plugins tiers plutôt que du cœur lui-même. Appliquez 7.1.4, puis regardez vos extensions.

Articles liés