WordPress 7.1.4 referme une brèche RCE côté mise à jour et une douzaine de failles XSS

Publiée le 28 octobre 2026, la version 7.1.4 de WordPress referme une faiblesse du processus de mise à jour qui pouvait, dans certaines conditions, déboucher sur une exécution de code à distance pendant la fenêtre de mise à jour elle-même. Le correctif s’accompagne d’une douzaine de failles XSS stockées, réparties entre l’éditeur de blocs, l’API d’interactivité et le Customizer. L’équipe de sécurité recommande une mise à jour immédiate de tous les sites concernés.

#Une faille critique dans le mécanisme de mise à jour

Le correctif le plus sensible touche directement le processus qui télécharge et installe les mises à jour de cœur, de thèmes et d’extensions. Rapportée par le chercheur Umut Bayram, la faiblesse pouvait, selon des conditions précises côté serveur, permettre l’exécution de code arbitraire pendant la fenêtre où WordPress se met lui-même à jour. Ce type de vulnérabilité est particulièrement sensible : elle s’attaque au mécanisme même censé protéger les sites contre les failles connues.

Le correctif resserre la validation des paquets téléchargés avant leur extraction et leur application, sans changer le comportement visible pour les administrateurs.

#Une série de XSS stockées sur l’éditeur de blocs

La majorité des autres correctifs concerne des scripts intersites (XSS) stockées, c’est-à-dire des failles où du code malveillant inséré une fois reste actif pour tous les visiteurs qui consultent la page concernée. Elles touchent :

• le rendu de blocs forgés sur mesure (Rafie Muhammad) ;
• les demandes de suppression de données personnelles, un vecteur signalé par Anthropic ;
• plusieurs points de l’API d’interactivité, dont un cas de déni de service stocké relevé par Jon Surrell ;
• le rafraîchissement sélectif du Customizer (Rafie Muhammad) ;
• le bloc Catégories (Ben Bidner) ;
• les identifiants de connexion forgés sur mesure, un vecteur également signalé par Anthropic ;
• les blocs Playlist et Image (Ben Bidner) ;
• les blocs de pagination des commentaires (Alex Concha).

Deux correctifs additionnels referment la possibilité, pour un visiteur non authentifié, de découvrir des changesets du Customizer non publiés (Antonio Lorensius Silaban), et un défaut d’autorisation qui rendait certaines notes lisibles par des utilisateurs privilégiés sans droit d’édition sur l’article concerné (Ramon).

#Mettre à jour en ligne de commande

Sur un hébergement maîtrisé, la mise à jour via WP-CLI reste la méthode la plus fiable pour vérifier la version effectivement installée avant et après l’opération :

wp core check-update
wp core update
wp core version --extra

Pour les sites gérés sans accès SSH, l’administration propose la mise à jour en un clic dès l’affichage de la bannière de version ; elle déclenche le même processus corrigé.

Une faille dans le processus de mise à jour touche la défense elle-même, pas seulement la surface qu’elle protège.

#Certificats racine et calendrier de la 7.2

La 7.1.4 embarque également une mise à jour des certificats racine groupés, en réaction à la révocation du certificat eMudhra. Les correctifs de sécurité sont par ailleurs rétroportés sur toutes les branches éligibles, jusqu’à la 4.7, livrés au fil de leur disponibilité. La prochaine version majeure, WordPress 7.2, reste calée au 8 décembre 2026 ; sa bêta 3 intègre déjà les correctifs de cette publication.

#Ce qu’il faut retenir

WordPress 7.1.4 corrige onze failles XSS stockées et une faiblesse plus rare, logée dans le processus de mise à jour lui-même. Aucun CVE n’est publié à ce stade sur la page officielle, mais la recommandation de mise à jour immédiate ne laisse pas de place à l’attente. Elle rappelle, comme la faille RCE critique corrigée en urgence sur PHP le mois précédent, que les correctifs touchant le cœur même d’une plateforme méritent un traitement prioritaire.

Pour aller plus loin : le détail des correctifs est disponible sur l’annonce officielle WordPress 7.1.4.