WordPress 7.1.4 corrige 22 vulnérabilités, dont 1 faille menant à l’exécution de code à distance
WordPress 7.1.4 corrige 22 vulnérabilités, dont une faille d'exécution de code à distance liée au processus de mise à jour en lui-même. Voici ce qu'il faut savoir sur cette nouvelle version.
Le 28 octobre 2026, l'équipe de WordPress a publié WordPress 7.1.4, une nouvelle version mineure entièrement dédiée à la sécurité. "Puisqu'il s'agit d'une version de sécurité, il est recommandé de mettre à jour vos sites immédiatement", peut-on lire dans l'annonce. Vous êtes prévenu dès le départ.
Cette version a pour objectif de corriger 22 vulnérabilités, et les branches 7.0 et 6.9 sont touchées par la totalité d'entre elles. Ce qui doit facilement faire quelques millions de sites Web. Certaines failles affectent de vieilles versions, donc il y a des patchs pour toutes les versions de WordPress jusqu'à la 4.7 qui passe en 4.7.39 (voir la liste sur cette page).
Vous l'avez sûrement remarqué, la branche 7.X enchaîne les correctifs. WordPress 7.1.1 a été publié le 17 septembre (11 failles corrigées), WordPress 7.1.2 le 22 septembre pour patcher une faille de sévérité critique, puis WordPress 7.1.3 le 6 octobre avec 7 correctifs de sécurité. Et voici donc la 4ème mise à jour de sécurité en six semaines. Sans oublier la petite pépite de cet été : en juillet, l'équipe de WordPress avait patché la faille wp2shell, une faille critique (RCE pré-authentifiée) dans le Core de WordPress.
Mais, alors, que cache cette nouvelle mise à jour ?
Une RCE cachée dans le mécanisme de mise à jour
La faille de sécurité la plus sérieuse se situe dans le processus de mise à jour de WordPress lui-même : une race condition pendant la mise à jour du Core pourrait mener à une exécution de code à distance. L'annonce WordPress précise que le risque porte sur le temps que la mise à jour s'effectue, sans apporter de détails supplémentaires.
Ce bulletin de sécurité corrige aussi des failles exploitables avec un compte utilisateur disposant du rôle Contributeur, en particulier des failles de type Stored XSS.
Les conditions d'exploitation ne sont pas détaillées publiquement à ce stade, et aucun identifiant CVE n'est mentionné dans les bulletins.
L'Interactivity API en première ligne
Le composant Interactivity API est affecté par 6 vulnérabilités, mais il n'est pas seul. Voici le récapitulatif des autres failles patchées par cette update :
Interactivity API : six failles la concernent directement. On y trouve des XSS stockées via les bindings (URL en
javascript:, gestionnaires d'événements, etc.), un problème permettant à des éléments object de charger des pages d'administration, une XSS via des fichiers texte téléversés dans l'Interactivity Router (rôle Auteur requis) et un déni de service.Blocs natifs : des XSS stockées touchent le bloc de type Catégories (injection de chaîne de format) ainsi que les libellés des blocs Comments Pagination et Post Navigation Link. Les blocs Image et Playlist bénéficient d'un renforcement sur des remplacements
preg_replace()jugés non sécurisés.Customizer : une XSS stockée dans l'actualisation, et surtout une fuite d'informations exposant les modifications non publiées de l'outil de personnalisation à des visiteurs non authentifiés.
Administration : une XSS stockée (rôle Éditeur requis) dans l'écran des demandes d'effacement de données personnelles, et un renforcement sur les noms d'utilisateur non échappés dans les écrans Utilisateurs du réseau en multisite. Particularité : ces deux failles sont créditées à Anthropic, l'éditeur de l'IA Claude.
Notes : des rôles personnalisés capables de modérer les commentaires pouvaient lire, modifier et supprimer les notes d'articles qu'ils ne peuvent pas éditer.
Certificats racines : le magasin de certificats intégré à WordPress est mis à jour suite à la révocation d'eMudhra.
Maintenant, à vous de jouer : place à l'installation de la mise à jour !
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.