Cinq jours seulement après WordPress 7.1.1, une nouvelle mise à jour de sécurité est sortie le 22 septembre 2026. WordPress 7.1.2 corrige une vulnérabilité classée critique, et il faut l’installer sans attendre.
Ce que corrige WordPress 7.1.2
La faille a été signalée de manière responsable par le chercheur Robert Ressl. Dans certaines conditions, un attaquant non authentifié pouvait pousser la résolution des templates de page à inclure un fichier PHP local lisible situé en dehors des répertoires du thème actif.
Si les prérequis côté serveur et côté thème actif sont réunis, cette inclusion peut mener à une exécution de code à distance (RCE). C’est le scénario le plus grave possible sur un site WordPress : l’attaquant fait exécuter son propre code par votre serveur.
La vulnérabilité est référencée sous CVE-2026-87902 (GHSA-7hp8-65ch-5whp). La sortie a été pilotée par John Blackbourn.
Un correctif rétroporté jusqu’à WordPress 4.7
Par courtoisie, l’équipe de sécurité a rétroporté le correctif sur toutes les branches encore éligibles aux correctifs de sécurité, soit jusqu’à WordPress 4.7. Ce qui ne change rien au rappel officiel : seule la dernière version de WordPress est activement maintenue.
Concrètement, cette mise à jour de maintenance a dû se déployer automatiquement sur votre site, sauf si vous avez désactivé les mises à jour automatiques en arrière-plan. Dans ce cas, passez en version 7.1.2 dès que possible.
Deux sorties de sécurité en cinq jours
WordPress 7.1.2 arrive juste après WordPress 7.1.1, qui corrigeait déjà 11 failles de sécurité et 36 bugs. Deux sorties de sécurité en moins d’une semaine, c’est inhabituel, et c’est le signe d’un rythme de découverte des vulnérabilités qui s’accélère nettement depuis le début de l’année.
La prochaine version majeure, WordPress 7.2, est attendue début décembre 2026.
Notre avis
Si vous avez désactivé les mises à jour automatiques du Cœur pour garder la main, c’est exactement le type de sortie qui doit vous faire revoir ce choix. Une RCE non authentifiée, même conditionnée à un environnement particulier, ne se laisse pas traîner une semaine.
Notre recommandation : laissez les mises à jour automatiques de sécurité du Cœur activées (c’est le réglage par défaut), et gardez le contrôle manuel sur les versions majeures et sur les extensions. Vous récupérez les correctifs critiques immédiatement sans prendre le risque d’une mise à jour majeure non testée.
Vérifiez aussi que vos sauvegardes tournent vraiment. Deux correctifs en cinq jours, c’est un avant-goût du rythme des prochains mois.