Le 28 octobre, l'équipe WordPress a publié WordPress 7.1.4, une version dédiée à la sécurité. Elle corrige plusieurs failles, dont l'une touche le processus de mise à jour lui-même. L'équipe recommande de mettre à jour immédiatement. Voici ce qu'il faut savoir, et ce que vous devez faire maintenant.

Ce que l’on sait

Le 28 octobre, l’équipe WordPress a publié WordPress 7.1.4. Elle la présente comme une version de sécurité qui corrige plusieurs problèmes, et recommande de mettre à jour « immédiatement ». L’annonce ne dit pas si ces failles sont déjà exploitées. Elle ne donne ni note de gravité ni numéro de référence.

La correction la plus sensible concerne le processus de mise à jour de WordPress. Une faiblesse peut mener à une exécution de code à distance pendant la période de mise à jour. Cela signifie qu’un tiers pourrait faire exécuter ses propres commandes à un site, depuis Internet. L’annonce ne donne pas d’autre détail.

Les autres corrections sont les suivantes :

• Plusieurs failles « XSS stockées ». Un code malveillant est enregistré dans le site, puis s’exécute dans le navigateur de la personne qui affiche la page concernée. Elles touchent des blocs (Catégories, Playlist, images, pagination des commentaires), du contenu de blocs spécialement construit, les demandes de suppression de données personnelles, les identifiants d’utilisateurs, le Personnalisateur et l’Interactivity API.
• Un déni de service stocké dans l’Interactivity API, c’est-à-dire un contenu qui peut rendre le site indisponible. Cette API est un composant de WordPress utilisé par certains blocs pour afficher des éléments interactifs.
• Des brouillons du Personnalisateur non publiés qui peuvent être découverts par des visiteurs non connectés. Le Personnalisateur est l’écran de réglage de l’apparence du site.
• Des notes lisibles par des utilisateurs à privilèges qui n’ont pas le droit de modifier le contenu auquel la note est rattachée.
• Une mise à jour des certificats racine fournis avec WordPress, à la suite de la révocation d’eMudhra. Ces certificats servent à vérifier l’identité des sites distants lors des connexions sécurisées.

Qui est concerné

Tous les sites WordPress, y compris les boutiques WooCommerce, qui fonctionnent sur WordPress. L’annonce porte sur WordPress lui-même, pas sur une extension ou un thème en particulier. Elle ne précise pas quelle version contient chacune des failles. Si votre site n’est pas en 7.1.4, considérez qu’il doit être mis à jour. PrestaShop n’est pas concerné par cette annonce.

Pour les anciennes versions, l’équipe WordPress indique avoir reporté les correctifs sur toutes les branches éligibles, actuellement jusqu’à la 4.7. Ces reports sont « en cours » et seront publiés au fur et à mesure. Elle rappelle aussi que seule la version la plus récente est activement maintenue. Si votre site est sur une version plus ancienne, le correctif de votre branche n’est donc peut-être pas encore disponible.

Comment connaître votre version

• WordPress : menu Outils → Santé du site → Informations, rubrique WordPress.
• PrestaShop : menu Paramètres avancés → Informations.
• Dans tous les cas : l’espace client de votre hébergeur indique souvent l’application installée et sa version.

Ce que vous devez faire maintenant

1. Vérifiez votre version de WordPress, comme indiqué ci-dessus. Si elle affiche 7.1.4, la mise à jour est faite.
2. Faites une sauvegarde complète (fichiers et base de données) avant toute mise à jour, et gardez-en une copie hors de votre hébergement.
3. Mettez à jour. Dans votre tableau de bord WordPress, cliquez sur « Mises à jour », puis sur « Mettre à jour maintenant ». Si votre site accepte les mises à jour automatiques en arrière-plan, la mise à jour peut démarrer seule. Contrôlez quand même le numéro de version.
4. Si votre version est ancienne, regardez dans « Mises à jour » si un correctif est proposé pour votre branche. Si ce n’est pas le cas, repassez régulièrement. Prévoyez un passage à la version la plus récente de WordPress. Testez d’abord : un thème ou une extension trop anciens peuvent poser problème après le changement de version. La prochaine version majeure, la 7.2, est prévue le 8 décembre.
5. Surveillez votre site dans les jours qui suivent. Voici les signes d’un site compromis : administrateur que vous ne connaissez pas, fichiers que vous n’avez pas ajoutés, contenu ou commentaire au comportement anormal, redirections vers d’autres sites, alerte de Google ou de votre hébergeur. En cas de doute, ne tardez pas à demander un contrôle.

Pour être prévenu le jour même des prochaines failles critiques, inscrivez-vous aux alertes ci-dessous.

Source : annonce de sécurité de WordPress.