Les cybercriminels multiplient les attaques automatisées contre deux extensions WordPress populaires. Wordfence indique avoir bloqué plus de 440 000 tentatives visant Super Forms – Drag & Drop Form Builder et Elementor Pro. Dans les deux cas, une validation insuffisante des fichiers envoyés peut permettre le dépôt d’un script PHP et l’exécution de code à distance.
Les vulnérabilités sont suivies sous les références CVE-2026-14894 et CVE-2026-32475. Elles sont exploitables sans authentification sur les versions concernées, ce qui transforme chaque site exposé en cible potentielle d’un balayage massif.
Super Forms touché par CVE-2026-14894
CVE-2026-14894 obtient un score CVSS de 9,8. La faille se trouve dans le mécanisme d’envoi de fichiers de Super Forms et provient d’un contrôle incomplet du type de fichier. Un attaquant peut téléverser un contenu exécutable, notamment une porte dérobée PHP, sans posséder de compte WordPress.
La vulnérabilité est corrigée dans Super Forms 6.3.314. Les versions concernées doivent être mises à jour ou désactivées lorsque le correctif ne peut pas être installé immédiatement.
Elementor Pro visé par CVE-2026-32475
CVE-2026-32475 affecte Elementor Pro et reçoit un score compris entre 9,0 et 9,8 selon les systèmes cités. Un attaquant non authentifié peut contourner les restrictions de téléversement et déposer un fichier arbitraire sur le serveur.
Elementor a corrigé le problème dans la version 4.2.2. Les utilisateurs doivent vérifier l’extension Pro elle-même, pas seulement Elementor gratuit, car les cycles de version diffèrent.
Plus de 440 000 requêtes malveillantes
Wordfence a enregistré plus de 440 000 tentatives combinées contre ces deux failles. L’activité aurait commencé le 14 juillet 2026 avant d’atteindre un pic supérieur à 40 000 requêtes le 18 août.
Ce chiffre décrit des requêtes bloquées ou observées, pas 440 000 sites compromis. Un même acteur peut envoyer des milliers de tentatives. Il confirme néanmoins que les failles sont intégrées à des outils automatisés et que le délai de correction est critique.
Pourquoi un fichier PHP suffit à prendre le contrôle
Si un serveur accepte un fichier contrôlé par l’attaquant dans un répertoire accessible depuis le web, celui-ci peut l’appeler comme une page. Le code s’exécute alors avec les permissions de PHP ou du serveur web.
Cette première exécution peut servir à créer un administrateur, voler wp-config.php, extraire la base de données, injecter du contenu ou installer une web shell persistante.
Comment protéger les sites WordPress
- Mettre Super Forms à jour vers la version 6.3.314 ou ultérieure et Elementor Pro vers la version 4.2.2 ou ultérieure.
- Désactiver et supprimer toute extension vulnérable qui n’est plus utilisée ou ne peut pas être corrigée.
- Limiter l’exécution de PHP dans les répertoires de téléversement lorsque l’hébergement le permet.
- Déployer un pare-feu applicatif sans le considérer comme un remplacement de la mise à jour.
- Inventorier les sites secondaires, environnements de test et anciennes instances encore accessibles.
- Conserver des sauvegardes hors ligne et tester régulièrement leur restauration.
Rechercher une compromission après la mise à jour
Le correctif n’élimine pas une porte dérobée déjà présente. Il faut examiner les fichiers PHP récemment créés dans wp-content/uploads, les comptes administrateur inconnus, les tâches planifiées, les extensions ajoutées et les modifications du cœur.
Les journaux web peuvent révéler des requêtes POST inhabituelles vers les fonctions d’envoi, suivies d’appels GET vers un fichier nouvellement déposé. Il faut aussi surveiller les connexions sortantes et changements de thèmes ou snippets.
Si une compromission est confirmée, renouvelez les clés WordPress, mots de passe, identifiants de base de données, comptes d’hébergement et jetons d’intégration depuis un poste sain.
Une leçon de gestion des extensions
Les plugins font partie de la surface d’attaque au même titre que le serveur et le CMS. Une politique efficace combine inventaire, mise à jour rapide, suppression des composants inutiles, contrôle des droits d’écriture et surveillance des fichiers.
Les équipes qui gèrent plusieurs sites devraient centraliser les versions et alertes. Les campagnes automatisées commencent parfois quelques heures après la publication d’un correctif ou d’une preuve de concept.
Sources
Les chiffres de campagne et versions corrigées sont rapportés par The Hacker News à partir des données de Wordfence. Le présent article adopte un angle opérationnel distinct consacré à la campagne combinée et à la remédiation.
