Failles WordPress : les leçons de 33 000 vulnérabilités publiées

Nous les recensons chaque jour dans notre index public, qui en comptait 32 988 le 19 octobre 2026, réparties sur 14 301 extensions et thèmes.

Deux fois plus de failles WordPress publiées entre 2023 et 2025

Dans notre index, le nombre de failles publiées a plus que doublé entre 2023 et 2025. Patchstack, un éditeur spécialisé dans la sécurité de WordPress qui tient son propre registre de failles, en recense même 11 334 pour 2025, 42 % de plus qu’en 2024. D’après son rapport annuel (en anglais), environ 91 % de ces failles touchaient des extensions et 9 % des thèmes ; le cœur de WordPress n’en a eu que 6, toutes jugées peu prioritaires. L’année 2026 a été moins calme pour lui, comme le raconte notre article sur WordPress 7. Sur un site WordPress, le risque vient donc surtout des extensions.

Les extensions ne sont pas forcément plus mal écrites qu’avant. Wordfence, dont notre index reprend le registre, paie par exemple les chercheurs qui lui signalent une faille, et Patchstack fait de même. On trouve davantage de failles parce qu’on en cherche davantage. Quelle qu’en soit la raison, vous avez davantage de mises à jour de sécurité à appliquer.

Ce qui rend une faille dangereuse pour votre site

Une fiche de faille donne d’abord sa gravité, une note de 0 à 10 appelée score CVSS. Dans notre index, 76 % des failles sont de gravité moyenne, 17 % de gravité élevée, 6 % de gravité critique et moins de 1 % de gravité faible. Mais pour juger de son urgence, deux autres informations comptent davantage : qui peut l’exploiter, et ce qu’elle permet de faire.

Qui peut l’exploiter

Un peu plus de la moitié des fiches précisent, dans leur intitulé, le niveau d’accès nécessaire. Parmi ces fiches, une sur quatre porte la mention « non authentifié », ce qui met la faille à la portée de n’importe quel robot. Les autres exigent d’être connecté au site, avec au moins un certain rôle. Le signe + indique que ce rôle, ou tout rôle plus élevé, suffit à exploiter la faille. Voici comment lire ces mentions, de la plus urgente à la moins urgente.

• Non authentifié : aucun compte n’est nécessaire. Les extensions concernées sont à mettre à jour en tout premier.
• Abonné+ : un simple compte suffit. Si les inscriptions sont ouvertes sur votre site, ces failles sont presque aussi graves que les premières.
• Contributeur+, Auteur+ ou Éditeur+ : il faut un compte qui permet d’écrire du contenu. Le risque dépend des personnes à qui vous en confiez un, comme des rédacteurs extérieurs, des stagiaires ou une agence.
• Administrateur+ : il faut déjà être administrateur. Le risque est faible, car quelqu’un qui a déjà ce compte peut presque tout faire sur le site.

Quand l’intitulé dit seulement « authentifié », traitez la faille, par prudence, comme si un simple compte suffisait. Sur une boutique, où chaque client a son compte, une faille de gravité moyenne qu’un client peut exploiter peut être plus urgente qu’une faille critique réservée aux administrateurs.

Ce qu’elle permet de faire

Près de la moitié des failles de notre index sont des failles dites XSS. Elles permettent de glisser un script qui s’exécutera dans le navigateur de vos visiteurs, par exemple pour les rediriger vers un autre site, ou dans celui de l’administrateur, pour créer un compte administrateur. Parmi les autres, on trouve :

• 5 042 défauts de contrôle d’accès, qui laissent quelqu’un faire ce qui devrait lui être interdit ;
• 3 395 failles CSRF, qui font exécuter une action sur le site à un administrateur connecté, à son insu, quand il clique sur un lien piégé ;
• 2 435 injections SQL, qui donnent accès à la base de données ;
• 583 élévations de privilèges, qui donnent à un simple compte des droits qu’il ne devrait pas avoir.

Les plus redoutées, 775 au total, permettent d’envoyer n’importe quel fichier sur le site. Un pirate peut ainsi déposer un programme qui lui donne le contrôle complet du site.

Plus d’une faille sur quatre sans correctif connu

Pour 28 % des failles de notre index (9 207), aucune version corrigée n’est indiquée. Parmi celles publiées depuis janvier 2025, la proportion monte à 36 %. Parfois, l’éditeur n’a pas encore publié de correctif. Parfois, il n’en publiera jamais, parce que l’extension est abandonnée, et certaines ont même été retirées du répertoire officiel de WordPress. Il arrive aussi qu’un correctif existe sans avoir été noté dans le registre.

Avant de conclure, lisez le journal des modifications de l’extension, publié sur sa page wordpress.org ou sur le site de son éditeur. Si un correctif est annoncé et que vous pouvez vous passer de l’extension quelques jours, désactivez-la en attendant. Si l’extension est abandonnée, supprimez-la et remplacez-la par une extension maintenue. La désactiver ne suffit pas.

Le nombre de failles d’une extension ne dit pas si elle est dangereuse

Même les extensions les plus installées ont des failles publiées. En voici quelques-unes, chaque nom menant à sa page dans notre index.

Wordfence lui-même, une extension de sécurité, en a trois. Pour toutes les extensions du tableau, chaque faille publiée a un correctif.

Le risque n’est pas réservé aux grands noms. Près des deux tiers des extensions et thèmes de notre index (9 364) n’ont qu’une seule faille publiée. Une extension peu connue avec une seule faille non corrigée peut être plus dangereuse qu’une extension célèbre qui en a cinquante, toutes corrigées dans la version que vous utilisez.

Ne supprimez pas une extension utile parce qu’elle a beaucoup de failles publiées : mettez-la à jour. Supprimez en revanche toute extension qui ne sert plus.

Savoir si les extensions de votre site sont concernées

WordPress vous signale les mises à jour disponibles, mais pas les failles qu’elles corrigent. Pour savoir si vos extensions sont touchées :

1. Relevez la version de chaque extension, dans le menu Extensions, puis Extensions installées. La version figure sous la description de chacune. Faites de même pour votre thème, dans le menu Apparence, puis Thèmes, en cliquant sur le thème actif.
2. Cherchez chacune dans notre index des failles par extension. La page d’une extension donne ses failles publiées et la version minimale à utiliser. L’index ne crée une page qu’à partir de deux failles publiées, si bien que l’absence de votre extension ne prouve pas qu’elle est saine.

Plus simple, notre analyse gratuite repère en une à deux minutes les extensions visibles de l’extérieur et les compare à tout l’index, y compris aux extensions qui n’ont qu’une faille. Certaines extensions ne laissent toutefois aucune trace visible de l’extérieur.

Pour les autres mesures qui protègent un site, et celles qui comptent peu, voyez notre article sur la sécurisation de WordPress.

Questions fréquentes

Qu’est-ce qu’une CVE ?

Un identifiant public attribué à une faille de sécurité, sous la forme CVE-année-numéro (par exemple CVE-2026-11905). Chercheurs, éditeurs, hébergeurs et outils de sécurité désignent ainsi la même faille par le même nom. Chaque CVE est accompagnée d’une description, des versions touchées et, quand elle existe, de la version corrigée.

Une faille publiée est-elle forcément exploitée ?

Non, mais personne ne peut dire à l’avance lesquelles le seront. Dès sa publication, sa fiche indique à tout le monde quelle extension et quelles versions sont touchées, et votre site reste exposé jusqu’à ce que l’extension soit mise à jour.

Comment savoir si une extension est encore maintenue ?

Ouvrez sa page sur wordpress.org, le répertoire officiel des extensions. Elle indique la date de la dernière mise à jour et la dernière version de WordPress avec laquelle l’extension a été testée. Si l’extension n’a pas été testée avec les trois dernières versions majeures, un avertissement prévient qu’elle n’est peut-être plus maintenue. Si elle a été retirée du répertoire, sa page indique qu’elle est fermée. Pour une extension payante, regardez la date de sa dernière version sur le site de son éditeur.

Méthode : chiffres tirés le 19 octobre 2026 de notre index public des failles, alimenté chaque jour par le registre de Wordfence (en anglais). Le niveau d’accès nécessaire est celui qu’indique l’intitulé de chaque fiche.