En clair, pour un propriétaire de site
Si votre site affiche un agenda, un calendrier d’événements, des dates de concerts, de formations ou de réunions, il y a de bonnes chances qu’il utilise The Events Calendar. C’est l’une des extensions d’agenda les plus répandues de l’écosystème WordPress.
Deux failles critiques y ont été corrigées. Elles permettent à un visiteur anonyme de prendre le contrôle du site — sans compte, sans mot de passe. La version à installer est la 6.17.4.1 ou plus récente.
Une condition limite l’exposition : l’attaque passe par les commentaires affichés sur les pages d’événements. Si vous ne savez pas si les commentaires sont activés chez vous, considérez que oui jusqu’à vérification : c’est le réglage par défaut de WordPress.
Détail technique
- CVE-2026-78006 : injection d’objet PHP menant à l’exécution de code à distance. Affecte les versions jusqu’à 6.17.4 incluse.
- CVE-2026-78159 : seconde chaîne d’exécution de code. Affecte les versions jusqu’à 6.17.3 incluse, corrigée dans 6.17.3.1.
Les deux sont notées 9,8 / 10 en CVSS, exploitables sans authentification. La version 6.17.4.1, publiée le 10 septembre 2026, ferme les deux chaînes : c’est la seule cible à retenir, plutôt que de raisonner correctif par correctif.
Un outil d’exploitation public circule et vise les versions inférieures ou égales à 6.17.4. Nous ne le relayons pas et ne décrivons aucune étape d’exploitation : le fait qu’il existe suffit à comprendre l’urgence. Quand l’outillage est public, l’exploitation ne demande plus de compétence particulière, et le balayage automatisé d’Internet suit en quelques jours.
Synthèse
| Composant | Extension WordPress The Events Calendar (StellarWP) |
| Identifiants | CVE-2026-78006 et CVE-2026-78159 |
| Type | Injection d’objet PHP, exécution de code à distance |
| Gravité | 9,8 / 10 (CVSS) — critique |
| Versions affectées | jusqu’à 6.17.4 incluse (78006), jusqu’à 6.17.3 incluse (78159) |
| Version corrigée | 6.17.4.1, publiée le 10 septembre 2026 |
| Authentification requise | Non |
| Condition d’exploitation | Commentaires activés et affichés sur les pages d’événements |
| Exploitation connue | Outil d’exploitation public en circulation |
| Vérifié le | 22 octobre 2026 |
Quel est le risque concret
L’exécution de code à distance, c’est le scénario maximal : l’attaquant ne vole pas une donnée, il obtient la main sur le site. Dans l’ordre habituel des choses, cela donne un compte administrateur discret, un fichier déposé dans les médias pour garder l’accès même après la mise à jour, puis l’usage du site pour autre chose — redirections vers des sites publicitaires, pages de hameçonnage hébergées à votre nom, envoi de courriels en masse.
Le préjudice n’est pas que technique. Un domaine qui sert du contenu malveillant est déclassé par Google, signalé aux visiteurs par leur navigateur, et parfois bloqué par les filtres de messagerie — y compris pour vos courriels légitimes.
Comment corriger
- Mettre à jour The Events Calendar en 6.17.4.1 ou supérieur. Extensions → Mises à jour disponibles.
- Vérifier aussi les extensions de la même famille si vous les utilisez (billetterie, filtres, vues additionnelles) : elles se mettent à jour ensemble.
- Si la mise à jour est impossible immédiatement, désactiver les commentaires sur les événements réduit la surface d’attaque. C’est une mesure d’attente, pas un correctif : la faille reste présente, et une autre voie d’exploitation peut être découverte demain.
Comment vérifier si votre site a été touché
L’extension étant largement déployée et l’outillage public, les sites restés en version vulnérable ces dernières semaines méritent un contrôle, pas seulement une mise à jour :
- comptes administrateurs inconnus, ou comptes dont la date de création ne correspond à rien ;
- fichiers PHP dans
wp-content/uploads/; - extensions que vous n’avez pas installées, ou désactivées qui se réactivent ;
- modifications récentes de
wp-config.phpou.htaccess; - dans les journaux du serveur, des requêtes POST répétées vers les pages d’événements depuis une même adresse.
Une mise à jour ferme la porte. Elle ne fait pas sortir celui qui est déjà entré.