Les failles de sécurité WordPress à connaître

Un site WordPress piraté n'est que très rarement le fruit d'une attaque sophistiquée visée personnellement contre une entreprise : dans l'immense majorité des cas, c'est une faille connue, restée ouverte parce qu'une extension n'a pas été mise à jour ou qu'un mot de passe était trop simple. Les pirates automatisent le repérage de ces failles à grande échelle, sans distinction entre un grand groupe et un artisan.

Connaître les failles les plus courantes permet de savoir où porter l'attention en priorité, plutôt que de se sentir démuni face à un sujet technique. Ce guide s'appuie sur deux sources récentes : le rapport 2026 de Patchstack, qui chiffre l'année 2025, et l'alerte publiée en juillet 2026 par Cybermalveillance.gouv.fr.

Les extensions et thèmes non mis à jour

C'est la porte d'entrée la plus fréquente : une extension ou un thème abandonné, jamais mis à jour, dont une faille a été publiquement documentée. Un pirate n'a alors qu'à scanner le web à la recherche de sites utilisant encore cette version vulnérable. La parade reste simple sur le principe : mettre à jour rapidement, et désinstaller ce qui n'est plus utilisé plutôt que de le laisser inactif sur le site.

Les mots de passe faibles et les attaques par force brute

La page de connexion WordPress (wp-login.php) est une cible classique pour les attaques par force brute, qui testent des milliers de combinaisons automatiquement. Un mot de passe robuste, un identifiant différent de « admin », et l'authentification à deux facteurs réduisent fortement ce risque. La marche à suivre est détaillée dans le guide sur la double authentification WordPress.

Les injections SQL et le cross-site scripting (XSS)

Ces failles exploitent des champs de saisie mal sécurisés (formulaires, zones de commentaires) pour insérer du code malveillant dans la base de données ou dans les pages affichées aux visiteurs. Elles proviennent fréquemment d'extensions tierces mal codées plutôt que du cœur de WordPress lui-même, ce qui renforce l'intérêt de limiter le nombre d'extensions installées.

Les chiffres 2025 : où se trouvent vraiment les failles

Le rapport State of WordPress Security in 2026, publié par Patchstack le 25 février 2026, dresse le bilan de l'année 2025. Il en ressort que l'écosystème WordPress n'est pas un bloc homogène : le risque se concentre dans les extensions, pas dans le logiciel de base.

Deux nuances s'imposent. D'abord, un délai médian de 5 heures ne concerne que les failles massivement exploitées : les autres vulnérabilités ne le sont jamais, ce qui ne dit pas laquelle le deviendra. Ensuite, le rapport souligne que les attaques sur le contrôle d'accès ressemblent à du trafic authentifié normal, ce qui les rend difficiles à bloquer avec un pare-feu applicatif classique : la mise à jour reste la meilleure défense.

L'alerte officielle de juillet 2026 : quand la faille touche le noyau

Les failles du noyau sont rares, mais pas inexistantes. Le 23 juillet 2026, Cybermalveillance.gouv.fr a publié une AlerteCyber sur deux failles critiques corrigées dans WordPress, dont l'exploitation combinée pouvait permettre une prise de contrôle à distance. Étaient concernées les versions 6.8.x antérieures à 6.8.6, 6.9.x antérieures à 6.9.5, 7.x antérieures à 7.0.2 et 7.1.x antérieures à 7.1 bêta 2. La recommandation officielle : mettre à jour au plus vite ; si c'est impossible, bloquer l'accès non authentifié à l'API REST de WordPress.

Cet épisode laisse une trace dans les recherches : d'après les relevés Google Ads obtenus via DataForSEO pour la France (septembre 2025 à août 2026), « failles wordpress » passe de 20 à 140 recherches par mois à 720 en juillet 2026, puis 210 en août. La requête « sécurité wordpress » (170 recherches par mois en moyenne) suit un autre rythme, avec des pics en septembre 2025 (590) et mars 2026 (480) et des creux autour de 40 à 70. Le relevé de la page de résultats du 8 octobre 2026 montre que l'aperçu IA de Google s'appuie, pour « failles de sécurité wordpress », sur cette alerte officielle.

Que faire cette semaine

1. Vérifier la version du noyau dans le tableau de bord, rubrique Mises à jour, et l'appliquer si elle est en retard.
2. Faire l'inventaire des extensions et des thèmes : supprimer ceux qui sont inactifs ou abandonnés plutôt que de les laisser dormir.
3. Activer les mises à jour automatiques de sécurité : voir le guide sur les mises à jour automatiques WordPress.
4. Protéger les comptes administrateur avec un mot de passe robuste et un second facteur.
5. Disposer d'une sauvegarde saine et testée avant toute intervention ; un audit technique permet de contrôler l'ensemble.

Que faire en cas de doute

WordPress publie régulièrement des mises à jour de sécurité pour son cœur logiciel ; les laisser s'appliquer automatiquement, sauf raison technique précise de les désactiver, reste la première protection. En cas d'attaque avérée, l'organisme officiel Cybermalveillance.gouv.fr propose des guides et un annuaire de prestataires ; le CERT-FR de l'ANSSI publie les avis de vulnérabilité pour les professionnels qui veulent suivre l'actualité de près. Si le site est déjà touché, voir mon site WordPress est piraté : que faire.