WooCommerce 11.2.2 : failles corrigées, votre boutique est-elle à jour ? ⚠️

WooCommerce a publié coup sur coup un correctif pour WooPayments le 3 novembre, puis la version 11.2.2 le 4 novembre, présentée comme une version de sécurité à installer dès que possible. Si votre boutique est déjà en panne après la mise à jour, notre équipe de dépannage WooCommerce peut intervenir à distance.

Que corrige WooCommerce 11.2.2 ?

WooCommerce 11.2.2 corrige plusieurs failles de sécurité sans numéro CVE ni score de gravité publiés. D’après les notes de version officielles, les renforcements portent sur :

• les quantités d’articles du panier dans la Store API (l’interface qu’utilisent le panier et la commande en blocs) ;
• l’authentification par clés API REST, celles que vous créez pour un ERP, un logiciel de caisse ou un outil d’expédition ;
• le calcul des taxes au moment de la commande pour le retrait en magasin ;
• la validation du mappage des colonnes dans l’importateur de produits CSV ;
• les points d’accès de connexion de l’administration (wc-admin) ;
• la gestion des attributs par défaut des produits quand un terme d’attribut global est renommé, avec une mise à jour de la base de données qui nettoie les données touchées.

Votre boutique est-elle concernée ?

Oui, si WooCommerce affiche une version inférieure à 11.2.2 sur votre site. Pour le vérifier, ouvrez Extensions > Extensions installées dans l’administration et lisez le numéro sous « WooCommerce ». Si vous avez un accès SSH, WP-CLI (l’outil en ligne de commande de WordPress) donne la réponse directement :

wp plugin get woocommerce --field=version
wp plugin get woocommerce-payments --field=version

La seconde ligne concerne WooPayments (dossier woocommerce-payments). Son avis de sécurité du 3 novembre vise la fonction d’abonnements intégrée à WooPayments et prolonge le correctif publié en août pour WooCommerce Subscriptions. WooCommerce a publié une version corrigée pour chaque branche :

• WooPayments 11.2.0 : passez en 11.2.1 ;
• 11.1.0 : passez en 11.1.1 ;
• 11.0.0 ou 11.0.1 : passez en 11.0.2 ;
• branches 10.x et 9.x : une version corrigée existe pour chacune (par exemple 10.7.2, 10.8.1 ou 9.9.1), à lire dans le tableau de l’avis officiel ;
• avant 9.0.0 : passez directement en 11.2.1.

L’avis insiste sur un point que nous voyons souvent négligé : vérifiez la version même si les mises à jour automatiques sont activées. Une mise à jour automatique peut échouer en silence (droits d’écriture, disque plein), et pensez aussi à vos sites de préproduction, rarement tenus à jour.

Comment mettre à jour WooCommerce sans casser vos commandes ?

La méthode sûre consiste à sauvegarder, mettre à jour l’extension, puis lancer la mise à jour de la base de données avant de tester une commande. Nous procédons dans cet ordre :

1. Faites une sauvegarde complète des fichiers et de la base de données, et vérifiez qu’elle se télécharge bien. Choisissez une heure creuse pour la boutique.
2. Mettez à jour WooCommerce (et WooPayments si vous l’utilisez) depuis Tableau de bord > Mises à jour, ou en WP-CLI.
3. Lancez la mise à jour de la base de données : un bandeau WooCommerce vous la propose dans l’administration. En WP-CLI, la commande wp wc update exécute toutes les mises à jour de base en attente.
4. Passez une vraie commande test de bout en bout, avec le moyen de paiement que vos clients utilisent le plus.

wp db export avant-maj-woocommerce.sql
wp plugin update woocommerce woocommerce-payments
wp wc update
wp plugin list --name=woocommerce --fields=name,status,version

Si le bandeau de mise à jour de la base reste affiché ou tourne en boucle, notre fiche mise à jour de la base WooCommerce bloquée détaille comment débloquer la situation.

Que faire si la commande plante après la mise à jour ?

Si la validation de commande renvoie une erreur juste après le passage en 11.2.2, cherchez d’abord une extension qui intervient au moment de l’enregistrement de la commande. C’est un changement de comportement assumé par WooCommerce : pendant une commande passée par la Store API, si une extension branchée sur les crochets woocommerce_before_order_object_save, woocommerce_new_order ou woocommerce_update_order déclenche une exception, la commande s’arrête désormais avec une erreur 500 au lieu de continuer avec une commande à moitié enregistrée. Une extension mal codée qui passait inaperçue devient donc visible.

Pour trouver l’extension en cause :

• ouvrez WooCommerce > État > Journaux et cherchez une source nommée fatal-errors à l’heure de la commande échouée ;
• activez le journal de débogage de WordPress (voir le code ci-dessous) puis lisez wp-content/debug.log après une nouvelle commande test ;
• le message d’erreur indique le chemin du fichier fautif, par exemple wp-content/plugins/nom-de-l-extension/… : c’est cette extension qu’il faut mettre à jour, ou désactiver le temps que son éditeur corrige.

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Ces trois lignes se placent dans wp-config.php, au-dessus de la ligne qui demande d’arrêter l’édition, et se retirent une fois le diagnostic fait. Pour les autres messages de validation, notre guide sur l’erreur « Une erreur est survenue lors du traitement de votre commande » et celui sur le paiement WooCommerce refusé couvrent les causes les plus fréquentes.

Une intégration reçoit une erreur 403

Deux points d’accès de connexion de wc-admin (onboarding/plugins/jetpack-authorization-url et plugins/connect-jetpack) exigent désormais une session d’administrateur ouverte dans le navigateur. Les appels faits avec des clés API REST, WP-CLI ou des mots de passe d’application reçoivent une erreur 403. L’interface d’administration normale n’est pas touchée. Si une intégration refuse ses clés, notre fiche clé API WooCommerce invalide vous aidera.

Faut-il vérifier si la boutique a été piratée ?

Aucune exploitation de ces failles n’a été signalée à ce jour, donc une mise à jour rapide suffit dans la grande majorité des cas. Si votre boutique est restée longtemps sur une version ancienne, contrôlez au moins la liste des administrateurs.

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Un administrateur que vous ne connaissez pas est un signal d’alerte sérieux : ne le supprimez pas à la hâte, notez ses informations et faites analyser le site. Notre scanner de sécurité WordPress donne un premier aperçu gratuit.

Que retenir pour la suite ?

Le prochain chantier est PHP : WooCommerce 11.6, prévue en février 2027, exigera au moins PHP 8.1, et l’équipe WooCommerce recommande PHP 8.3 ou plus. Vérifiez votre version dans Outils > Santé du site > Infos > Serveur et prévoyez le changement maintenant plutôt que dans l’urgence.

Si une mise à jour a déjà cassé une partie de la boutique, notre article Une mise à jour a cassé votre site WordPress explique comment revenir en arrière proprement.