Le 28 octobre 2026, WordPress a publié la version 7.1.4. Ce n’est pas une version de confort : c’est une version de sécurité, et l’éditeur écrit noir sur blanc qu’il recommande de mettre les sites à jour immédiatement.
Au total, 22 vulnérabilités sont corrigées. L’une d’entre elles mérite d’être expliquée, parce qu’elle touche l’endroit le moins attendu.
Correctif officiel WordPress
WordPress recommande de mettre les sites à jour immédiatement vers WordPress 7.1.4.
Il n’existe pas de correctif à appliquer séparément : la remédiation officielle est la mise à jour vers la version corrigée.
- Annonce officielle de la version 7.1.4 : wordpress.org/news/2026/10/wordpress-7-1-4/
- Obtenir la version et mettre à jour : wordpress.org/download/ — pour une branche plus ancienne : wordpress.org/download/releases/
La faille qui visait la mise à jour elle-même
Parmi les correctifs, WordPress décrit une faiblesse du processus de mise à jour, qui pouvait mener à l’exécution de code à distance pendant la fenêtre de mise à jour. La page officielle de la version la présente comme une situation de compétition survenant au cours de la mise à jour du cœur. Elle a été signalée par Umut Bayram.
Dit autrement : le mécanisme censé corriger votre site était lui-même le point faible, et seulement pendant le court instant où la mise à jour s’exécute. Les fichiers corrigés sont ceux du module de mise à jour de WordPress.
Cela ne rend pas la mise à jour dangereuse. Cela veut dire que rester sur une version ancienne laisse ce point faible en place, mise à jour après mise à jour.
Les autres correctifs
Le reste tient surtout à des injections de code stockées, que WordPress appelle stored XSS. La plupart demandent un compte sur le site, à partir du niveau Contributeur pour plusieurs d’entre elles, Auteur ou Éditeur pour d’autres. Les composants concernés sont notamment l’API Interactivity, l’outil de personnalisation, le bloc Catégories, les blocs Image et Playlist et la pagination des commentaires.
Deux points sortent du lot :
- des modifications de personnalisation non publiées pouvaient être découvertes par un visiteur non connecté ;
- les certificats racine fournis avec WordPress ont été mis à jour après la révocation d’eMudhra.
Si plusieurs personnes écrivent sur votre site, la première série vous concerne directement : un compte Contributeur suffisait.
Qui est concerné
Les correctifs ont été rétroportés sur toutes les branches encore éligibles, jusqu’à la branche 4.7. WordPress rappelle au passage que seule la version la plus récente est réellement suivie, et que ces rétroportages sont publiés au fur et à mesure.
Les versions 4.6 et antérieures ne reçoivent plus de correctifs de sécurité. Un site resté sur l’une d’elles ne sera pas corrigé par une mise à jour : il doit changer de branche.
Comment vérifier votre version, sans être développeur
- Connectez-vous à l’administration de votre site.
- Allez dans Tableau de bord → Mises à jour. La version installée s’affiche en haut de l’écran.
- Si une mise à jour est proposée, cliquez sur Mettre à jour maintenant.
Si votre hébergement prend en charge les mises à jour automatiques en arrière-plan, la mise à jour a pu démarrer seule. Vérifiez quand même que la version affichée est bien la 7.1.4 : une mise à jour interrompue laisse un site dans un état intermédiaire, et personne ne vous avertira.
Ce qu’il faut faire, dans cet ordre
- Sauvegarder le site. La documentation officielle de WordPress le dit avant toute autre étape : une sauvegarde permet de revenir en arrière si la mise à jour tourne mal.
- Mettre à jour WordPress vers la version corrigée de votre branche.
- Contrôler la version affichée après l’opération.
- Passer en revue la liste des comptes et le niveau de chacun, en commençant par les comptes Contributeur et au-dessus.
- Mettre à jour les extensions et le thème, puis vérifier que le site fonctionne toujours.
Ce que WordPress ne dit pas
Aucun identifiant CVE n’apparaît sur les deux pages officielles de cette version. Les chiffres qui circulent ailleurs viennent de là : l’annonce présente les correctifs en 13 points, la page de la version en 18, pour 22 vulnérabilités comptées. Le décompte change, pas la conduite à tenir.
Nous nous en tenons ici à ce que WordPress publie. Le reste relève du commentaire.
Sources officielles
- Annonce de la version 7.1.4 — wordpress.org, 28 octobre 2026
- Page de la version 7.1.4 — liste des correctifs et branches rétroportées
- Obtenir WordPress et archive des versions
- Mettre à jour WordPress — procédure officielle, sauvegarde comprise