WordPress 7.1.2 est une mise à jour de sécurité qui corrige une vulnérabilité de gravité critique. Il est recommandé de mettre à jour ses sites immédiatement.
La nouvelle version peut être téléchargée sur WordPress.org. Il est aussi possible d’aller dans le tableau de bord WordPress, de cliquer sur « Updates », puis sur « Update Now ». Les sites qui prennent en charge les mises à jour automatiques en arrière-plan lanceront la procédure d’eux-mêmes.
Une faille de gravité critique
L’équipe de sécurité remercie Robert Ressl pour avoir signalé la vulnérabilité de manière responsable. Selon la source, un attaquant non authentifié, c’est-à-dire qui n’a pas besoin de se connecter, peut, sous certaines conditions, faire en sorte que la résolution des modèles de page inclue un fichier PHP local lisible choisi, situé en dehors des répertoires du thème actif.
Si les conditions préalables liées à l’environnement du serveur et au thème actif sont réunies, cela peut conduire à une exécution de code à distance (RCE), c’est-à-dire la possibilité pour un tiers d’exécuter du code sur le serveur.
Contributeurs, référence et versions concernées
La version a été menée par John Blackbourn, avec les contributions de Aaron Jorbin, Aki Hamano, Alex Concha, Ehtisham Siddiqui, fiocavallari, Jb Audras, Jeffrey Paul, Jeremy Felt, Joe McGill, Jon Surrell, Lance Willett, Manuel Camargo, marcs0h, martin.krcho, Mukesh Panchal, Olga Gleckler, Pascal Birchler, Peter Wilson, Rajin Sharwar, Ressl, Rudy Faile, Sergey Biryukov, Shail Mehta, Stephanie Walters et vortfu.
Plus de détails figurent dans l’avis de sécurité référencé CVE-2026-87902 / GHSA-7hp8-65ch-5whp. Le correctif a par ailleurs été porté, par courtoisie, sur toutes les branches éligibles aux correctifs de sécurité, actuellement jusqu’à la version 4.7. Seule la version la plus récente de WordPress est activement prise en charge.
Product offers are temporarily unavailable.
