Le dirigeant qui nous écrit fin août a fait ce qu'on lui avait conseillé. Son site vitrine tourne sur WordPress, et il a installé une extension de sauvegarde pour ne pas dépendre uniquement de son hébergeur. Il a même testé une restauration, pour vérifier que l'archive fonctionnait. Sa question tient en une ligne : est-ce que cette restauration a pu retourner son site contre lui ?
La question paraît absurde et elle est pourtant exactement la bonne. La vulnérabilité annoncée le 25 août 2026 sous la référence CVE-2026-19949 concerne l'extension All-in-One WP Migration and Backup, un outil de sauvegarde et de migration installé sur plusieurs millions de sites. Ce qui la rend intéressante, ce n'est pas sa note de gravité. C'est que l'attaque ne se déclenche pas quand un intrus force la porte, mais au moment où l'administrateur restaure lui-même son archive.
Une attaque qui attend que vous agissiez
Le mécanisme se déroule en deux temps, ce qui lui vaut le nom d'injection SQL de second ordre.
Premier temps, la pose. Une personne extérieure, sans compte ni mot de passe, dépose des données préparées sur le site en passant par les rétroliens, ce mécanisme ancien de WordPress qui permet à un site de signaler qu'il en a cité un autre. Rien ne se passe. Les données restent en base, inertes, parmi des milliers d'autres lignes. Le site fonctionne normalement et aucune supervision ne signale quoi que ce soit.
Second temps, le déclenchement. L'administrateur exporte son site puis le réimporte, une opération banale lors d'un changement d'hébergeur ou d'un retour en arrière. Au moment de la restauration, l'extension traite ces données sans les échapper correctement, et la requête préparée par l'attaquant s'exécute. Elle extrait la clé secrète interne de l'extension et la fait ressortir dans un commentaire public, où il suffit de venir la lire. Muni de cette clé, l'attaquant peut alors faire importer au site une archive de son choix, contenant du code exécutable. À ce niveau de privilège, il ne s'agit plus d'une fuite de données mais d'une prise de contrôle du site.
Les versions concernées vont jusqu'à la 7.109 incluse. L'éditeur a publié le correctif dans la version 7.110 le 20 août 2026. Le détail technique est consultable sur la fiche officielle de la vulnérabilité.
Désactiver l'extension ne la neutralise pas vraiment
C'est le deuxième piège de cette affaire, et il vaut bien au-delà du cas présent.
Beaucoup de sites conservent une extension de migration désactivée, installée le temps d'un déménagement puis laissée en place « au cas où ». Une extension désactivée ne s'exécute pas, donc le risque immédiat est réduit. Mais le code reste sur le serveur, et les données déposées restent en base. Le jour où quelqu'un réactive l'outil pour cinq minutes, afin de faire une archive avant une mise à jour par exemple, les deux moitiés du piège se rejoignent.
La conclusion pratique est simple. Une extension qui ne sert plus ne se désactive pas, elle se supprime. Une extension de migration ne sert que pendant une migration : c'est typiquement le genre d'outil qu'on installe pour une opération et qu'on retire ensuite.
La même semaine, le même chemin chez Jetpack
Le 2 septembre 2026, Jetpack publiait sa version 16.1.3, corrigeant une vulnérabilité critique. Là encore, la faiblesse se situe dans la fonction d'import : en restaurant les métadonnées d'un contenu importé, l'extension reconstruisait des objets à partir de données fournies sans contrôle suffisant. L'éditeur a rétroporté le correctif sur toutes les branches depuis la 12.0, publiée en 2023, et indique n'avoir aucune preuve d'exploitation à la date de publication de son avis de sécurité.
Deux extensions différentes, deux éditeurs sérieux, la même semaine, et le même endroit : le chemin d'import. Ce n'est pas une coïncidence. Le formulaire de contact d'un site est parcouru par des robots tous les jours, donc il est éprouvé. La fonction qui restaure une archive sert deux fois par an, souvent dans l'urgence, et reçoit par nature des données volumineuses que le code doit reconstruire. C'est un chemin peu emprunté, peu testé, et qui manipule beaucoup de confiance.
Ce que cela change dans la façon de compter sa surface d'attaque
Un réflexe courant consiste à classer les extensions en deux tas : celles qui ajoutent une fonction visible, et celles qui protègent. Les premières seraient le risque, les secondes la réponse.
Cette séparation n'existe pas. Une extension de sauvegarde, de sécurité ou de cache est du code qui s'exécute sur votre serveur avec les mêmes droits que le reste. Elle compte dans la surface d'attaque exactement comme un carrousel d'images. Elle a même une particularité défavorable : elle touche à la base de données, aux fichiers et aux archives, donc une faille chez elle porte plus loin qu'une faille dans un module d'affichage.
Cela ne veut pas dire qu'il faut se passer de sauvegarde, évidemment. Cela veut dire que la sauvegarde ne se juge pas au nombre d'extensions installées, mais à l'endroit où l'archive est stockée et à la dernière fois qu'une restauration a été testée. Nous développons ce point dans notre article sur la sauvegarde WordPress hors serveur : une archive posée à côté du site qu'elle protège ne protège pas de grand-chose.
Ce qu'il faut vérifier de votre côté
Trois vérifications suffisent, et aucune ne demande de compétence particulière.
- Dans l'administration, ouvrez la liste des extensions et repérez les outils de sauvegarde et de migration. Notez leur numéro de version, y compris pour celles qui sont désactivées, car la liste les affiche aussi.
- Comparez avec la version corrigée annoncée par l'éditeur. Pour All-in-One WP Migration and Backup, il faut être en 7.110 ou au-delà. Si vous êtes en dessous, mettez à jour avant toute opération d'export ou d'import.
- Supprimez les extensions de migration que vous n'utilisez pas. Si vous hésitez parce que vous avez peur d'en avoir besoin plus tard, c'est le signe qu'il vous manque une procédure de sauvegarde, pas une extension de plus.
Si vous avez restauré une archive entre la mi-août et la mise à jour de l'extension, la prudence commande de regarder au-delà de la version. Un compte administrateur que vous ne reconnaissez pas, un fichier récent dans les répertoires de thèmes, une tâche planifiée inconnue : ce sont les traces habituelles. Notre article sur la reprise d'un WordPress piraté décrit la marche à suivre quand le doute s'installe.
Ce que nous faisons pour les sites que nous maintenons
Notre réponse à ce genre d'annonce est décidée à l'avance, ce qui la rend rapide. Nous tenons la liste des extensions de chaque site que nous suivons, avec leur version. Quand une vulnérabilité est publiée, la question « qui est concerné » se traite par une lecture de liste, pas par une tournée de connexions une par une.
Vient ensuite le délai. Entre la publication d'un correctif et les premières campagnes d'exploitation, la fenêtre se compte en jours, sujet que nous traitons dans notre article sur le délai de correctif. Nous appliquons donc la mise à jour sur un environnement de recette avant la production, méthode décrite dans le staging WordPress, avec une archive stockée ailleurs que sur le serveur d'hébergement pour pouvoir revenir en arrière sans discussion.
Ce travail vit dans la maintenance WordPress à 500 HT / an : mises à jour du cœur, du thème et des extensions, sauvegardes hors du serveur, supervision et suivi des annonces de sécurité. Le raisonnement de fond, celui qui explique pourquoi ce contrat existe plutôt que des interventions au coup par coup, est développé dans failles WordPress et maintenance. Nous intervenons à distance, partout en France et en Suisse.
À retenir
Une extension de sauvegarde est du code comme un autre, et le chemin qui restaure une archive est l'un des moins éprouvés d'un site. Vérifiez la version de vos outils de migration, supprimez ceux qui ne servent plus, et jugez votre sauvegarde à l'endroit où elle est stockée plutôt qu'au nombre d'extensions installées.
Si vous ne savez pas quelles extensions tournent sur votre site ni dans quelle version, envoyez-nous son adresse. Nous vous remettons la liste, les versions, et ce qui relève de l'urgence par rapport au cycle normal.