WordPress 7.1.3 est sorti le 6 octobre 2026 avec 7 correctifs de sécurité. C’est la troisième mise à jour de sécurité en trois semaines, après la 7.1.1 (17 septembre, 11 failles) et surtout la 7.1.2 (22 septembre), qui corrigeait une faille critique exploitée par des attaquants dès le jour de sa publication. Si l’un de vos sites n’a pas suivi le rythme, c’est le moment de vérifier.

Ce qui change

Pris un par un, ces correctifs ont l’air techniques. Mis bout à bout, ils racontent une chose simple : un WordPress qui a trois semaines de retard est aujourd’hui un WordPress vulnérable.

WordPress 7.1.2 : la faille critique déjà exploitée

La 7.1.2 corrige une seule faille, mais de gravité critique (CVE-2026-87902). D’après l’annonce officielle de WordPress, un visiteur non connecté pouvait, dans certaines conditions, forcer WordPress à inclure un fichier PHP du serveur situé hors du thème, ce qui peut aller jusqu’à l’exécution de code à distance. Patchstack précise que toutes les versions de 4.7.0 à 7.1.1 sont concernées et que le scénario le plus grave suppose un thème contenant un dossier dont le nom commence par page- (par exemple page-templates) et une configuration PHP particulière côté hébergeur.

La CISA, l’agence américaine de cybersécurité, a ajouté cette faille à son catalogue des vulnérabilités activement exploitées le 25 septembre 2026. Autrement dit : ce n’est plus théorique.

WordPress 7.1.3 : 7 failles de plus

La version 7.1.3 corrige notamment :

  • une faille XSS stockée sur la page d’administration des commentaires, déclenchable via un commentaire en attente ;
  • une injection SQL « de second ordre » dans l’export WXR (Outils > Exporter) ;
  • la divulgation, sans être connecté, de commentaires publiés sur des articles privés ou non publiés ;
  • un déni de service dans une fonction HTTP interne, une XSS dans les intégrations Imgur, un auteur qui pouvait épingler des articles, et une collision de noms de hooks.

Détail intéressant : trois de ces sept failles ont été signalées par Anthropic, l’éditeur de l’IA Claude, et une autre par l’équipe de sécurité Trail of Bits. Les audits assistés par l’IA trouvent désormais des failles dans le cœur de WordPress plus vite qu’avant. C’est une bonne nouvelle pour la sécurité à long terme, mais cela veut dire aussi des mises à jour plus fréquentes, qu’il faut suivre.

WordPress 7.1.1 : 11 failles et 38 bugs

Pour mémoire, la 7.1.1 corrigeait 11 failles, dont une permettant à un contributeur d’écraser n’importe quel article et une XSS stockée exploitable par un visiteur via les commentaires (sous réserve de validation).

Ce qui peut casser

Une version mineure de sécurité comme la 7.1.3 casse rarement un site : elle ne change pas de fonctionnalités, elle corrige. Dans ma pratique, les problèmes viennent plutôt de l’environnement autour :

  • Extensions qui détournent les commentaires ou l’export : les correctifs touchent l’admin des commentaires et l’export WXR. Une extension qui modifie ces écrans peut afficher un comportement différent.
  • Thèmes anciens ou très personnalisés : si votre thème a un dossier page-* ou des gabarits de page « maison », testez les pages qui les utilisent après la mise à jour.
  • Mises à jour automatiques désactivées : c’est le vrai risque. Les mises à jour mineures s’installent normalement toutes seules, mais beaucoup d’hébergeurs, d’extensions ou de développeurs les désactivent. Dans ce cas, votre site est peut-être encore en 7.1.1 ou avant.
  • Vieille branche de WordPress : les correctifs de sécurité sont en général rétroportés sur les anciennes branches, parfois avec plusieurs jours de retard, mais seule la dernière version est réellement supportée. Un site en 6.x reste exposé à tout ce qui n’est corrigé qu’en 7.x.

Si un écran blanc ou le message « erreur critique » apparaît après la mise à jour, voici comment diagnostiquer et réparer une erreur critique WordPress.

Faut-il mettre à jour maintenant ?

Oui, sans attendre. WordPress lui-même recommande une mise à jour immédiate, et la faille de la 7.1.2 est exploitée. Mon avis de praticien :

  • Site en 7.1.x : passez en 7.1.3 aujourd’hui (Tableau de bord > Mises à jour). C’est une mise à jour mineure, quelques minutes suffisent.
  • Site resté sur une branche plus ancienne : installez au moins la dernière version corrigée de votre branche (par exemple 7.0.6, 6.9.9 ou 6.8.10 pour la faille critique), puis planifiez le passage en 7.1.
  • Site qui n’a pas été mis à jour depuis le 22 septembre : mettez à jour, puis vérifiez qu’il n’a pas été compromis (voir la checklist ci-dessous).

Checklist avant de mettre à jour

  1. Faites une sauvegarde complète (fichiers + base de données) et vérifiez qu’elle est restaurable.
  2. Notez votre version actuelle de WordPress et de PHP (Outils > Santé du site > Informations).
  3. Mettez d’abord à jour sur une copie de préproduction si le site est critique (boutique, espace membres).
  4. Après la mise à jour, testez : page d’accueil, une page avec gabarit personnalisé, formulaire de contact, commentaires, tunnel de commande s’il y en a un.
  5. Si le site est resté plusieurs jours sans correctif : cherchez des fichiers PHP récents et inconnus dans wp-content, des comptes administrateurs que vous ne connaissez pas, et lancez un scan avec votre extension de sécurité.
  6. Vérifiez que les mises à jour automatiques mineures sont bien actives, pour ne pas revivre la même situation.

Si vous trouvez des traces d’intrusion, ne vous contentez pas de mettre à jour : un site piraté doit être nettoyé. Je m’en occupe via mon service de réparation de site WordPress piraté. Et si votre hébergement tourne encore sur une vieille version de PHP, lisez aussi comment passer de PHP 7 à PHP 8 sans casser son site.

Questions fréquentes

Mon site s’est-il mis à jour tout seul en 7.1.3 ?

Probablement, si les mises à jour automatiques mineures sont actives : WordPress les déploie en arrière-plan. Vérifiez la version affichée dans Tableau de bord > Mises à jour. Si vous voyez encore 7.1.1 ou 7.1.2, quelque chose bloque les mises à jour automatiques.

Mon thème n’a pas de dossier « page- » : suis-je tranquille ?

Pour le scénario le plus grave de la faille CVE-2026-87902, le risque est plus faible, mais pas pour les 18 autres failles corrigées en 7.1.1 et 7.1.3. La seule réponse fiable reste la mise à jour.

La mise à jour 7.1.3 peut-elle casser mes extensions ?

C’est rare pour une version mineure de sécurité. Les cas que je rencontre viennent d’extensions abandonnées ou modifiées à la main. Une sauvegarde avant la mise à jour suffit à vous couvrir.