WordPress 7.1.4, publiée le mercredi 28 octobre 2026, corrige 22 vulnérabilités : si votre site n’affiche pas encore ce numéro de version (ou la version corrigée de sa branche), faites la mise à jour aujourd’hui. La faille la plus sérieuse se niche dans le processus de mise à jour lui-même, et c’est l’une des deux qui ne demandent aucun compte sur votre site.
- WordPress 7.1.4 est sortie le 28 octobre 2026 à 18 h 13 (heure de Paris) : c’est une version de sécurité, à installer immédiatement.
- 22 vulnérabilités corrigées selon la documentation officielle, surtout des failles XSS qui exigent un compte Contributeur ou plus.
- Deux failles sont exploitables sans compte : une exécution de code pendant la fenêtre de mise à jour, et l’accès aux brouillons non publiés de l’outil Personnaliser.
- Les anciennes branches ont leur correctif (7.0.8, 6.9.11, 6.8.12…), mais rien n’est prévu pour WordPress 4.6 et antérieur.
Plan de l'article
- Que corrige exactement WordPress 7.1.4 ?
- Pourquoi la faille de la mise à jour est-elle la plus surveillée ?
- Quelle est l’autre faille exploitable sans compte ?
- Votre version est-elle concernée ?
- Que faire concrètement sur votre site, étape par étape ?
- Pourquoi autant de versions de sécurité cet automne ?
- Questions fréquentes
- À retenir
Que corrige exactement WordPress 7.1.4 ? #
Le bulletin officiel signé Aaron Jorbin liste douze rubriques de correctifs, plus une mise à jour des certificats racine embarqués après la révocation de l’autorité eMudhra. Certaines rubriques regroupent plusieurs bugs : la page de documentation de la version en compte 22 au total.
L’essentiel relève du « stored XSS » : un utilisateur glisse du code dans un contenu, et ce code s’exécute dans le navigateur de la personne qui l’ouvre, souvent l’éditeur ou l’administrateur qui relit un brouillon. Les zones touchées : l’Interactivity API (lightbox d’image, menu de navigation, bloc Playlist), le bloc Catégories, les blocs de pagination des commentaires et l’outil Personnaliser.
À lire Comment créer un CV original gratuit qui décroche des entretiens
Pourquoi la faille de la mise à jour est-elle la plus surveillée ? #
Signalée par le chercheur Umut Bayram, elle est décrite par WordPress comme une « situation de concurrence » pendant la mise à jour du cœur, pouvant mener à une exécution de code à distance. Pendant quelques secondes, WordPress décompresse la nouvelle version dans un dossier de wp-content/upgrade/, accessible depuis le Web comme le reste du site.
D’après la lecture du correctif publiée par l’hébergeur Wordify, ce dossier portait jusqu’ici un nom suffixé de six caractères aléatoires, lisible sur un serveur qui affiche le contenu des répertoires. Le correctif passe à 16 caractères, ajoute un index.php vide dans wp-content/upgrade/ et ne recopie plus de wp-config.php depuis le dossier décompressé.
La fenêtre d’attaque reste étroite : l’attaquant doit tomber pile pendant une mise à jour. Patchstack classe d’ailleurs cette faille en complexité d’attaque élevée. Mais elle ne demande aucun identifiant, ce qui la rend plus inquiétante que les failles réservées aux comptes connectés.
Quelle est l’autre faille exploitable sans compte ? #
Elle concerne l’outil Apparence > Personnaliser, surtout utilisé avec les thèmes classiques. Quand vous préparez un changement sans le publier (nouveau menu, texte d’en-tête, CSS additionnel pour un lancement), WordPress le garde en brouillon. Un visiteur non connecté pouvait afficher ce brouillon en appelant l’aperçu sans identifiant.
À lire Pourquoi mon PC rame et comment l’accélérer sans changer de machine
Concrètement, un menu promotionnel ou une page d’accueil remaniée pouvait être vue avant l’heure. Ce n’est pas une prise de contrôle du site, mais pour un commerçant qui prépare une opération, la fuite n’est pas anodine. La faille a été signalée par Antonio Lorensius Silaban.
Votre version est-elle concernée ? #
Toutes les branches maintenues ont reçu un correctif, mais toutes ne sont pas touchées par les 22 failles. Le tableau reprend les chiffres de la documentation officielle de WordPress 7.1.4.
| Votre branche | Failles qui la concernent | Version à installer |
|---|---|---|
| 7.1 | 22 sur 22 | 7.1.4 |
| 7.0 | 22 sur 22 | 7.0.8 |
| 6.9 | 22 sur 22 | 6.9.11 |
| 6.8 et 6.7 | 20 sur 22 | 6.8.12 et 6.7.11 |
| 6.6 | 19 sur 22 | 6.6.11 |
| 6.5 et 6.4 | 17 sur 22 | 6.5.14 et 6.4.14 |
| 4.7 et 4.8 | 2 sur 22 | 4.7.39 et 4.8.34 |
| 4.6 et antérieur | non communiqué | plus aucun correctif |
Attention au calendrier : WordPress.org précise que les rétroportages « sortiront au fur et à mesure ». Le 29 octobre au matin, Wordify notait que ceux des branches 6.5 et antérieures n’étaient pas encore tous disponibles. Seule la dernière version est réellement maintenue : visez 7.1.4 dès que vos extensions le permettent.
Que faire concrètement sur votre site, étape par étape ? #
1. Vérifiez votre version. Dans le tableau de bord, ouvrez Tableau de bord > Mises à jour : le numéro installé s’y affiche. Si les mises à jour automatiques de sécurité sont actives, le passage à 7.1.4 a pu se faire tout seul dans la nuit.
À lire Logiciel de diagnostic auto multimarque gratuit : le télécharger
2. Sauvegardez, puis mettez à jour. Une sauvegarde des fichiers et de la base avant toute mise à jour reste la règle, même pour une version mineure. Cliquez ensuite sur « Mettre à jour maintenant », puis contrôlez quelques pages clés et votre formulaire de contact.
3. Testez le dossier sensible. Tapez l’adresse votresite.fr/wp-content/upgrade/ dans votre navigateur. Une liste de fichiers s’affiche ? Votre serveur montre le contenu des répertoires : demandez à votre hébergeur de couper cet affichage, ou ajoutez Options -Indexes au fichier .htaccess sur un serveur Apache. Patchstack recommande aussi de bloquer ce dossier au niveau du serveur web.
4. Faites le tri dans les comptes. La plupart des failles partent d’un compte Contributeur ou Auteur. Ouvrez Comptes > Tous les comptes et supprimez les anciens rédacteurs, stagiaires ou prestataires qui n’écrivent plus chez vous.
5. Relisez vos brouillons du Personnaliser. Si un changement confidentiel y attendait sa date, partez du principe qu’il a pu être vu, et publiez-le ou supprimez-le.
Pour aller plus loin, notre checklist de maintenance WordPress 2026 reprend la routine complète.
Pourquoi autant de versions de sécurité cet automne ? #
Le rythme est inhabituel : 7.1.4 est la quatrième version de sécurité de la branche 7.1 en six semaines, après 7.1.1 le 17 septembre, 7.1.2 le 22 septembre et 7.1.3 le 6 octobre, dont nous avions détaillé les sept failles corrigées. Le détail qui étonne les habitués : deux des failles de 7.1.4 ont été signalées par Anthropic, l’éditeur de l’IA Claude, l’une dans les demandes d’effacement de données personnelles, l’autre via des identifiants de connexion piégés.
Autre point relevé par Wordify : au 29 octobre, aucune des 22 failles n’avait encore de numéro CVE. Inutile donc d’attendre une note de gravité pour agir. La prochaine version majeure, WordPress 7.2, est annoncée pour le 8 décembre, et sa bêta 3 intègre déjà ces correctifs.
Questions fréquentes #
La mise à jour 7.1.4 peut-elle casser mon site ?
Mon site est hébergé chez un hébergeur WordPress infogéré : dois-je agir ?
Que faire si mon site tourne encore sous WordPress 4.6 ou plus ancien ?
À retenir #
/wp-content/upgrade/ et faites le ménage dans les comptes Contributeur et Auteur.
