Si ton site tourne sous WordPress, lis attentivement ce qui suit : une faille critique, référencée CVE-2026-87902, a été découverte dans le cœur même de WordPress. Elle touche toutes les versions de la 4.7 à la 7.1.1, avec un score de gravité CVSS de 9,2 sur 10. Autant dire le niveau d'alerte maximum.

Ce qui rend cette vulnérabilité particulièrement dangereuse, c'est qu'elle permet l'exécution de code à distance sans aucun compte utilisateur : un attaquant n'a besoin ni de s'inscrire, ni de se connecter. Et ce n'est pas théorique : depuis fin septembre 2026, cette faille est exploitée massivement, avec environ 30 000 adresses IP d'attaque recensées. Ton blog, ta boutique WooCommerce ou ton site vitrine peut être visé en ce moment même par des robots qui scannent le web à la recherche de sites non corrigés.

La parade est simple et à ta portée : passer en WordPress 7.1.2, vérifier que les mises à jour automatiques sont bien activées, puis contrôler que ton site n'a pas déjà été compromis. Suis ce guide étape par étape, que tu sois blogueur au Sénégal, e-commerçant en Côte d'Ivoire, freelance au Cameroun ou gérant d'un site vitrine en France, en Belgique, en Suisse ou au Québec.

CVE-2026-87902 : pourquoi cette faille est si grave

La plupart des failles WordPress touchent des extensions ou des thèmes. Celle-ci est différente : elle se situe dans le cœur de WordPress lui-même, le socle commun à tous les sites. Résultat : tous les sites en version 4.7 à 7.1.1 sont vulnérables, quel que soit leur thème ou leurs plugins.

Le score CVSS de 9,2 reflète trois réalités : l'attaque se fait à distance (pas besoin d'accéder à ton serveur), sans authentification (aucun compte requis), et elle permet d'exécuter du code arbitraire (prendre le contrôle du site, y déposer des fichiers malveillants, voler la base de données, rediriger tes visiteurs vers des arnaques).

Depuis fin septembre 2026, les robots d'attaque balayent Internet à grande échelle — environ 30 000 IP sources différentes ont été observées en train d'exploiter cette faille. Les cibles : gros sites comme petits blogs personnels sur du mutualisé (OVH, o2switch, Infomaniak, PlanetHoster, LWS, Ionos, GoDaddy). Personne n'est trop petit pour être scanné.

Ne retarde pas la mise à jour. Entre la publication d'un correctif et son installation, chaque jour compte : les attaquants automatisent l'exploitation en quelques heures. Si ton site est encore en 7.1.1 ou antérieur aujourd'hui, considère qu'il est exposé. La mise à jour 7.1.2 corrige définitivement cette faille.

Action concrète pour cette section : connecte-toi à ton tableau de bord WordPress et vérifie ta version (en bas à droite de l'écran d'accueil, ou via Outils > Santé du site). Si tu es en 7.1.1 ou en dessous, passe immédiatement à l'étape suivante.

Étape 1 : passer en WordPress 7.1.2 sans casser son site

La mise à jour vers 7.1.2 est la protection numéro un. Voici comment la faire proprement, sans risquer de casser ton site :

  1. Sauvegarde d'abord. Avant toute mise à jour, fais une sauvegarde complète (fichiers + base de données). Si tu ne sais pas comment t'y prendre, suis notre guide pour sauvegarder ton site WordPress avant une mise à jour. C'est non négociable.
  2. Va dans Tableau de bord > Mises à jour et clique sur Mettre à jour vers la version 7.1.2.
  3. Laisse la mise à jour se terminer sans fermer l'onglet, puis vérifie que ton site s'affiche correctement (page d'accueil, une page, un article).
  4. Vérifie que les mises à jour automatiques sont activées : dans Tableau de bord > Mises à jour, assure-toi que les mises à jour automatiques des versions mineures de WordPress sont bien enclenchées. Ce sont elles qui t'ont protégé — ou qui te protégeront — lors de la prochaine alerte.
  5. Mets aussi à jour tes thèmes et extensions : un cœur à jour avec des plugins vulnérables reste une porte ouverte.

Si ton site est très ancien (WordPress 4.7, 5.x ou 6.x), la montée vers 7.1.2 est plus délicate : fais la sauvegarde, puis mets à jour par paliers en testant l'affichage à chaque étape, ou confie l'opération à ton hébergeur.

Le petit réflexe hunter : après chaque mise à jour majeure, vide le cache de ton site (plugin de cache ou cache de l'hébergeur) et teste ton site en navigation privée. Un site qui semble « cassé » après une mise à jour n'est souvent qu'un vieux cache qui s'accroche.

Action concrète pour cette section : sauvegarde, mise à jour en 7.1.2, vérification de l'affichage, activation des mises à jour automatiques. Les quatre gestes, dans cet ordre, aujourd'hui.

Étape 2 : vérifier que ton site n'est pas déjà compromis

La faille est exploitée massivement depuis fin septembre 2026 : avant de te déclarer tiré d'affaire, vérifie que des attaquants ne sont pas déjà passés. Signaux d'alerte à inspecter :

  1. Comptes administrateurs inconnus : va dans Utilisateurs > Tous les utilisateurs et cherche des comptes admin que tu n'as pas créés.
  2. Pages, articles ou redirections suspects : du contenu que tu n'as pas publié, des liens sortants bizarres, des redirections vers des sites douteux.
  3. Fichiers modifiés récemment : via ton gestionnaire de fichiers (ou le FTP), trie les fichiers par date de modification et repère ceux que tu n'as pas touchés.
  4. Lance un scan de sécurité : des extensions comme Sucuri Security ou Wordfence permettent d'analyser les fichiers de ton site à la recherche de code malveillant. Un scan complet prend quelques minutes et vaut le détour.
  5. Vérifie tes sauvegardes : assure-toi de disposer d'une sauvegarde saine et récente, idéalement antérieure à fin septembre 2026 si ton site n'était pas à jour.

Si tu trouves des traces de compromission (fichiers inconnus, comptes pirates, redirections), ne te contente pas de les supprimer à la main : un site piraté se nettoie méthodiquement. Notre guide site WordPress piraté : que faire pour nettoyer et sécuriser te donne la procédure complète, étape par étape.

Notre reco : installe une extension de sécurité (type pare-feu applicatif) et programme des sauvegardes automatiques hebdomadaires, stockées hors de ton hébergement. C'est la combinaison qui transforme une catastrophe potentielle en simple formalité.

Action concrète pour cette section : lance un scan complet de ton site cette semaine et contrôle la liste des comptes administrateurs. Cinq minutes qui peuvent tout changer.

Un bon hébergeur, ton bouclier silencieux

Tu peux faire tout parfaitement de ton côté, mais ton hébergeur joue aussi un rôle décisif dans ta sécurité. Un hébergeur sérieux applique les correctifs de sécurité rapidement, propose des mises à jour automatiques de WordPress, intègre un pare-feu côté serveur et réalise des sauvegardes régulières de ton site.

À l'inverse, un hébergement au rabais où les mises à jour traînent et où le support est injoignable, c'est une faille béante. Face à des vulnérabilités critiques comme CVE-2026-87902, certains hébergeurs appliquent les patches automatiquement sur leurs serveurs, te protégeant avant même que tu aies cliqué sur « mettre à jour ».

Si tu envisages de changer d'hébergeur ou de lancer un nouveau projet WordPress sur des bases saines, un hébergeur reconnu pour ses mises à jour automatiques et son bon rapport qualité-prix comme Hostinger est un choix solide : les correctifs de sécurité y sont déployés rapidement, ce qui t'évite de te retrouver exposé à la prochaine faille critique du même genre.

Action concrète pour cette section : vérifie dans l'espace client de ton hébergeur actuel que les mises à jour automatiques de WordPress et les sauvegardes sont bien activées. Sinon, c'est le moment de reconsidérer ton choix.

Quand demander de l'aide

Certaines situations dépassent le bricolage du dimanche :

  • Ton site est déjà piraté (contenu inconnu, redirections, comptes admin pirates) : fais appel à un spécialiste du nettoyage WordPress ou au support de ton hébergeur avant de toucher à quoi que ce soit.
  • Tu n'as plus accès à ton administration : ton hébergeur peut souvent restaurer un accès ou une sauvegarde depuis son espace client.
  • Ton site est très ancien (WordPress 4.7 à 5.x avec un thème sur mesure) : la montée de version mérite un accompagnement pour ne pas tout casser.

Action concrète pour cette section : en cas de piratage avéré, contacte le support de ton hébergeur en premier — c'est souvent le plus rapide — et change tous tes mots de passe (admin WordPress, FTP, base de données) une fois le site assaini.

Les thèmes et les extensions sont-ils aussi concernés par CVE-2026-87902 ?

Non, cette faille se situe dans le cœur de WordPress lui-même, pas dans un thème ou une extension. Mais un site à jour au niveau du cœur avec des extensions vulnérables reste exposé à d'autres attaques : mets tout à jour, pas seulement WordPress.

Les mises à jour automatiques suffisent-elles à me protéger ?

Pour les failles du cœur comme celle-ci, oui : les mises à jour automatiques des versions mineures installent les correctifs de sécurité sans intervention. Vérifie simplement qu'elles sont bien activées dans Tableau de bord > Mises à jour, et garde un œil sur tes sauvegardes.

Mon site est en WordPress 4.7, que dois-je faire ?

Tu es dans la plage vulnérable et très en retard. Sauvegarde complète d'abord, puis planifie une montée de version vers 7.1.2 — de préférence accompagnée, car un saut de plusieurs versions majeures peut casser un vieux thème ou des extensions obsolètes. En attendant, ton site est exposé : agis vite.

Comment savoir si mon site a déjà été attaqué via cette faille ?

Cherche les signaux classiques : comptes administrateurs inconnus, fichiers modifiés récemment que tu n'as pas touchés, pages ou redirections suspectes. Un scan avec une extension de sécurité (Sucuri, Wordfence) et la consultation des logs d'accès de ton hébergeur complètent le diagnostic.

J'ai un multisite ou plusieurs sites WordPress, dois-je tout mettre à jour ?

Oui, chaque installation doit passer en 7.1.2 : un seul site vulnérable peut servir de porte d'entrée vers les autres sur un même hébergement. Traite-les un par un, sauvegarde à chaque fois, et vérifie les mises à jour automatiques sur chacun.