Une faille critique, notée 9,1 sur 10, a été publiée le 31 octobre pour Popup Builder, un plugin WordPress qui compte plus de 200 000 installations actives. Elle permet à n'importe quel internaute, sans identifiant, de mettre à la corbeille tous les popups publiés de votre site. Voici ce que l'on sait, qui est concerné, et ce que vous devez faire maintenant.

Ce que l’on sait

Le 31 octobre, une fiche a été publiée dans la NVD, le registre public américain des failles de sécurité. Elle décrit la faille CVE-2026-89270 (un simple numéro d’identification) dans Popup Builder. Ce plugin WordPress sert à créer des popups : ces fenêtres qui s’affichent par-dessus une page pour une promotion ou une inscription à une lettre d’information. Selon wordpress.org, il compte plus de 200 000 installations actives.

Le problème : le plugin ne vérifie pas correctement qu’une personne a le droit d’effectuer une action. On parle de contournement d’autorisation. Résultat : n’importe qui, sans compte ni mot de passe, peut mettre à la corbeille tous les popups publiés du site. Il suffit d’une seule requête GET, c’est-à-dire l’appel d’une adresse web, comme lorsque l’on ouvre un lien dans un navigateur.

Un second défaut aggrave la situation. Une fonction interne du plugin, nommée SGPopup::find(), répond « introuvable » pour tous les popups normalement publiés dès que le paramètre sg_popup_preview_id figure dans l’adresse. Le plugin met alors à la corbeille tous les popups du site en même temps, et pas seulement un seul.

La faille est notée 9,1 sur 10 (échelle CVSS 3.1), ce qui la classe en critique. Cette note indique une attaque possible depuis internet, simple à réaliser, sans compte et sans action d’un visiteur. L’impact porte sur la modification et la disponibilité du contenu. La notation ne prévoit pas de lecture de données confidentielles.

Ce que la fiche ne dit pas : elle n’indique pas que la faille est déjà exploitée. Elle ne donne pas non plus le numéro d’une version corrigée. Des mesures provisoires réservées aux administrateurs peuvent exister : consultez la page officielle du plugin sur wordpress.org.

Qui est concerné

Votre site est concerné s’il fonctionne sous WordPress (WooCommerce compris) et que le plugin Popup Builder y est installé, en version 4.4.5 ou plus ancienne. Sans ce plugin, cette faille ne vous touche pas. Elle ne concerne pas non plus PrestaShop, puisqu’il s’agit d’un plugin WordPress.

Comment connaître votre version

• Le plugin : dans l’administration WordPress, ouvrez Extensions → Extensions installées. Le numéro de version s’affiche sous le nom « Popup Builder ».
• WordPress : menu Outils → Santé du site → Informations, rubrique Extensions. Vous y trouvez la liste de vos extensions avec leur version.
• PrestaShop : menu Paramètres avancés → Informations. Vous y lirez la version de PrestaShop, mais cela ne renseigne pas sur cette faille.
• Dans tous les cas : l’espace client de votre hébergeur indique les applications installées sur chaque site.

Ce que vous devez faire maintenant

1. Vérifiez la version de Popup Builder, comme indiqué ci-dessus. Si elle est de 4.4.5 ou moins, votre site est concerné.
2. Cherchez une mise à jour. Ouvrez Tableau de bord → Mises à jour, ou la page Extensions. Si une version supérieure à 4.4.5 est proposée, installez-la. La fiche ne précise pas quelle version corrige la faille : vérifiez sur la page du plugin sur wordpress.org.
3. Faites une sauvegarde complète (fichiers et base de données) avant toute modification, et gardez-en une copie hors de votre site.
4. Si vous n’utilisez plus Popup Builder, supprimez-le. Un plugin absent ne peut pas être visé par cette faille. Si vous l’utilisez et qu’aucune version corrigée n’est disponible, demandez conseil à la personne qui gère votre site.
5. Surveillez vos popups. Dans Popup Builder, regardez si certains se trouvent dans la corbeille alors que vous ne les y avez pas mis. Un popup qui a disparu de votre site sans raison est un signe à prendre au sérieux. Vous pouvez aussi demander à votre prestataire d’examiner les journaux d’accès : ce sont les traces des visites reçues par votre site.
6. Restez attentif aux autres signes de piratage : administrateur inconnu dans votre back-office, fichiers que vous n’avez pas ajoutés, redirections vers d’autres sites, alerte de Google ou de votre hébergeur. La fiche ne signale pas ce type de conséquence, mais ces contrôles restent de bonne pratique.

Pour être prévenu le jour même des prochaines failles critiques, inscrivez-vous aux alertes ci-dessous.

Source : fiche CVE-2026-89270 (base NVD).