Un clic (piégé, évidemment) suffit à déclencher l'installation d'un thème sur l'instance, et cette installation peut ensuite être enchaînée vers de l'exécution de code arbitraire sur le serveur. Bref, le scénario redouté: compromission → RCE → "au secours, qui a accès au FTP?"
WordPress, PHP, et nous au milieu
On ne va pas se mentir, WordPress reste le plus gros déploiement PHP du monde (oui, même en 2026, même avec tous les block themes à la mode, même avec les débats sans fin pro/anti Gutenberg). Et derrière chaque site WP, il y a un dev PHP qui maintient, patche, et tente d'expliquer au client que non, "installer un thème cracké trouvé sur un site tiers" ouf, ce n'est vraiment pas une bonne idée. Cette faille nous concerne donc au premier chef: elle rappelle brutalement que la sécurité d'un site WordPress, c'est aussi la sécurité d'une app PHP souvent mal entretenue, avec des thèmes legacy qui traînent depuis 2015 et des plugins orphelins qu'on n'a jamais osé désactiver.
Le réflexe à adopter dès maintenant (et ceux à venir)
Les détails techniques précis (numéro de CVE, versions affectées, vecteur exact du "click forcé") ne sont pas encore consolidés dans les sources publiques qu'on a sous la main. On ne va donc rien inventer: en attendant le patch officiel et l'analyse technique complète, on applique les basiques qui ne trompent jamais. D'abord, on audite les comptes admin (parce que forcer l'installation d'un thème suppose généralement des droits élevés, ou au minimum une session compromise). Ensuite, on vérifie la liste des thèmes installés sur les sites qu'on maintient — un thème ajouté sans qu'on sache qui l'a mis, c'est un signal d'alarme. Enfin, on scrute les logs d'activité récente. Et si vous gérez des clients non techniques, c'est l'instant idéal pour leur rappeler pourquoi les mises à jour automatiques, ce n'est pas du gadget — mais sans les noyer sous le jargon de la CVE.
À suivre dans les jours qui viennent: dès qu'on a du concret technique à se mettre sous la dent, on revient avec un décryptage complet et les bons patchs. D'ici là, prudence sur les liens bizarres dans les mails clients, et bon courage pour les astreintes du week-end.