WordPress 7.1.3 : 7 failles corrigées, votre site est-il bien à jour ? ⚠️

Que corrige exactement WordPress 7.1.3 ?

WordPress 7.1.3 est une version de maintenance et de sécurité qui corrige sept vulnérabilités du cœur et quatre bugs, selon l’annonce officielle publiée le 6 octobre 2026. Elle arrive deux semaines après la version 7.1.2, qui bouchait une faille critique déjà exploitée par des pirates (nous l’avions détaillée dans notre article sur la faille critique corrigée par WordPress 7.1.2). Suivre ces mises à jour à votre place, c’est le rôle de notre service de maintenance WordPress.

Voici les sept failles corrigées, traduites en langage clair :

• Une faille XSS stockée dans la page Commentaires de l’administration, déclenchée par un commentaire en attente de modération. Une faille XSS permet d’injecter du code JavaScript qui s’exécute ensuite dans le navigateur d’une autre personne, ici celui du modérateur.
• Une injection SQL « de second ordre » dans l’export WXR, le fichier produit par le menu Outils > Exporter. Une injection SQL glisse une commande dans une requête envoyée à la base de données ; « de second ordre » signifie que la valeur piégée doit déjà s’y trouver.
• Un déni de service dans une fonction qui transforme les adresses relatives en adresses complètes, qui peut faire tourner le serveur en boucle.
• Un défaut de droits qui permettait à un utilisateur au rôle Auteur de mettre un article en avant.
• La divulgation, sans connexion, des commentaires d’articles privés ou non publiés à travers les flux de commentaires.
• Une faille XSS dans les contenus Imgur intégrés à une page.
• Une collision de noms d’actions dans un mécanisme interne de WordPress (le hook {status}_{type}), qui ne pose problème qu’en présence de certaines extensions.

Qui a découvert ces failles ?

Les signalements viennent de la société d’audit Trail of Bits avec OpenAI, d’Anthropic (pour trois d’entre elles), de Patchstack, de chercheurs indépendants et de l’équipe de sécurité de WordPress, comme l’indique la page de la version 7.1.3. Avec des outils d’intelligence artificielle parmi les découvreurs, les failles se trouvent plus vite qu’avant, ce qui rend les mises à jour rapides encore plus importantes.

Ces failles sont-elles dangereuses pour votre site ?

Elles sont nettement moins graves que celle de la version 7.1.2 : aucune ne permet seule à un visiteur anonyme de prendre le contrôle d’un site, et l’analyse de Patchstack ne faisait état d’aucune exploitation au moment de sa publication. La plupart demandent un compte avec au moins le rôle Contributeur, un administrateur qui lance un export bien précis, ou une extension qui utilise WordPress d’une façon particulière.

La faille qui nous inquiète le plus est celle des commentaires. Un visiteur sans compte peut déposer un commentaire piégé, et il suffit ensuite qu’un modérateur clique sur un lien qu’il contient pour que le code s’exécute avec les droits de cette personne. D’après Patchstack, ce scénario touche les versions 7.1.0 à 7.1.2. Or une faille XSS dans le navigateur d’un administrateur peut servir à tout faire à sa place, y compris créer des comptes : c’est exactement ce que nous avons vu avec la campagne qui a exploité Ninja Forms pour installer des administrateurs cachés.

Votre site est donc plus exposé si les commentaires sont ouverts ou si plusieurs personnes y publient.

Comment vérifier que votre site est bien passé en 7.1.3 ?

Le plus simple est d’ouvrir le menu Tableau de bord > Mises à jour de votre administration : la page indique la version installée et propose la 7.1.3 si elle n’est pas encore en place. Ensuite, quelques gestes complètent la mise à jour :

1. Lancez la mise à jour si elle est proposée, après avoir vérifié que vous disposez d’une sauvegarde récente du site et de sa base de données.
2. Videz le cache de votre extension de cache, de votre hébergeur et de votre CDN s’il y en a un. Patchstack précise que les contenus Imgur déjà mis en cache ne sont pas nettoyés par la mise à jour.
3. Passez en revue les comptes utilisateurs dans le menu Comptes (ou Utilisateurs) : retirez les accès Contributeur, Auteur ou Éditeur qui ne servent plus, et vérifiez qu’aucun administrateur inconnu n’est apparu.
4. Restez prudent avec les commentaires en attente tant que la mise à jour n’est pas faite : ne cliquez pas sur les liens qu’ils contiennent.

Pour un contrôle rapide de l’extérieur, notre scanner de sécurité WordPress gratuit peut aussi vous signaler une version de WordPress en retard.

Pourquoi la mise à jour automatique n’a-t-elle pas eu lieu ?

Depuis longtemps, WordPress installe tout seul ses versions mineures de sécurité comme la 7.1.3, mais ce mécanisme peut être désactivé ou bloqué. Très souvent, la cause est un réglage de l’hébergeur, une extension de gestion des mises à jour, une ligne ajoutée dans le fichier wp-config.php, ou des droits sur les fichiers qui empêchent WordPress d’écrire sur le serveur.

Si votre site tourne encore sur une version majeure plus ancienne, par exemple une 6.x, la situation est différente : les correctifs sont reportés sur les anciennes branches, mais selon Patchstack ce report n’était pas encore terminé pour les versions 4.7 à 6.5 au moment de l’annonce. L’équipe WordPress rappelle d’ailleurs que seule la dernière version est réellement maintenue. Nous conseillons donc de passer en 7.1, en testant d’abord les extensions et le thème.