INFONEWS//CYBER
LIVE
Correctifs Quiz arnaques Mot de passe fuité ?

Fiche CVE

CVE-2026-119977

Cette faille de WordPress WordPress Core est activement exploitée : la CISA l'a ajoutée à son catalogue des failles exploitées le 3 novembre 2026. Les agences fédérales américaines avaient jusqu'au 6 novembre 2026 pour la corriger.

Gravité CVSS8,1élevée
Mentions1dans l'actualité
ExploitéeOuiattaques constatées
RançongicielNon connuusage par des groupes
Risque EPSS0,6 %d'exploitation sous 30 jours

Description

ÉlevéeWordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution
Le cœur de WordPress présente une vulnérabilité permettant l'exécution de code à distance dans les versions 4.7 à 7.1.3. Cette vulnérabilité est due à l'utilisation de chemins d'accès prévisibles et accessibles via le Web lors des mises à jour complètes du cœur. Elle permet à des attaquants non authentifiés d'exécuter du code sur le serveur pendant la période de mise à jour.
Texte d'origine (anglais)

WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.

Publiée le 31 octobre 2026 · CWE-367 Time-of-check Time-of-use (TOCTOU) Race Condition · CVSS 3.1 : 8,1

Source : fiche officielle CVE.org, traduite automatiquement avec DeepL.

Priorité de correction

UrgenteExploitation constatée (catalogue CISA KEV) : à corriger tout de suite.

Le score EPSS estime à 0,6 % la probabilité que cette faille soit exploitée dans les 30 prochains jours : elle est plus risquée que 49 % des failles connues. La CISA a déjà constaté son exploitation : le score ne change rien à l'urgence.

Source : EPSS (FIRST.org), calcul du 3 novembre 2026.

Fiche CISA

ExploitéeWordPress WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnerability

WordPress WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades.

Action demandée : Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Texte d'origine en anglais, publié par la CISA (agence américaine de cybersécurité).

Produits et versions touchés

ProduitVersions touchées
WordPressWordPress Foundation4.7.0 à 4.7.38
4.8.0 à 4.8.33
4.9.0 à 4.9.34
5.0.0 à 5.0.30
5.1.0 à 5.1.27
5.2.0 à 5.2.29
5.3.0 à 5.3.26
5.4.0 à 5.4.24

Mettez à jour vers une version postérieure à celles listées, d'après l'avis de l'éditeur.

Correctifs et avis de sécurité

Dans l'actualité

Questions fréquentes

La faille CVE-2026-119977 est-elle exploitée ?

Oui. La CISA a constaté son exploitation et l'a ajoutée à son catalogue des failles exploitées le 3 novembre 2026.

Quelle est la gravité de CVE-2026-119977 ?

Son score CVSS est de 8,1 sur 10, soit une gravité élevée.

Comment corriger CVE-2026-119977 ?

Installez la mise à jour de sécurité de WordPress Core, en priorité car la faille est exploitée. Faute de correctif, appliquez les contournements indiqués par l'éditeur ou le CERT-FR.