Une faille dans l’extension Elementor Forms, soit le module Ultimate Addons for Elementor Forms pour WordPress, est notée 9,8 sur 10 sur la fiche NVD. Si votre site l’utilise, la recommandation fournie est de passer en version 1.0.8 ou plus récente, après une sauvegarde complète.
C’est quoi ?
Un module de formulaires pour sites WordPress accepte mal les fichiers qu’on y dépose, ce qui peut permettre à un inconnu de prendre la main sur le site.
Une extension est un petit logiciel qu’on ajoute à un site WordPress. Elementor sert à construire les pages sans programmer, et le module Ultimate Addons for Elementor Forms y ajoute les formulaires de contact ou de soumission. La vulnérabilité CVE-2026-124814 touche le champ qui sert à joindre un fichier : le module ne vérifie pas correctement ce qui arrive. Pensez à la porte de garage laissée entrouverte pour le chat : l’ouverture paraît inoffensive, mais elle suffit à qui cherche un accès. Selon la fiche NVD, un internaute non authentifié, donc sans compte ni mot de passe, peut déposer les fichiers de son choix. Il peut ensuite faire exécuter ses propres instructions par le serveur, l’ordinateur qui fait fonctionner vos pages chez votre hébergeur.
Pourquoi c’est grave ?
La note est de 9,8 sur 10 en CVSS 3.1, attribuée par l’organisme déclarant (CNA) selon la fiche NVD, qui ne signale aucune exploitation à ce jour.
Le CVSS est une échelle de gravité technique, de 0 à 10 : plus le chiffre est élevé, plus la faille est simple à exploiter et lourde de conséquences. Elle qualifie la faille, pas votre site. Aucune attaque n’est signalée, ce qui ne garantit ni qu’il n’y en a pas, ni qu’un délai existe pour agir.
Un site repris en main par un tiers peut servir à voler les renseignements que vos clients laissent dans vos formulaires. Il peut aussi afficher de faux contenus ou de fausses coordonnées de paiement. Si des renseignements personnels sont touchés, la loi québécoise sur la protection des renseignements personnels dans le secteur privé oblige à consigner l’incident dans un registre. En cas de risque de préjudice sérieux, elle impose aussi d’aviser la Commission d’accès à l’information et les personnes concernées.
Ça touche qui ?
Les sites WordPress bâtis avec Elementor dont le module Ultimate Addons for Elementor Forms est en version antérieure à 1.0.8.
La fiche NVD indique que les versions antérieures à 1.0.8 sont concernées, et la recommandation fournie est de passer en 1.0.8 ou plus récente. La fiche elle-même ne précise ni l’éditeur du module, ni de correctif : nous ne l’inventerons pas. Si votre site a été confié à une agence, ce module peut être en place sans que personne ne s’en souvienne.
Comment vérifier dans mon entreprise ?
Il s’agit de savoir quelles extensions tournent sur votre site, et dans quelle version.
- Demander au prestataire ou au webmestre de confirmer, dans le tableau de bord WordPress, si le module Ultimate Addons for Elementor Forms est installé et dans quelle version.
- Lui faire réaliser le passage en 1.0.8 ou plus récente, après une sauvegarde complète du site.
- Faire désactiver le module s’il n’est plus utilisé ou si l’opération doit attendre.
- Exiger du fournisseur une confirmation écrite de la date de l’intervention et de la revue des fichiers déposés récemment par les formulaires.
Mise en situation
Exemple fictif : un garage de quartier dont le site n’a pas été mis à jour.
Le site reçoit les demandes de rendez-vous par un formulaire. Un inconnu y dépose un fichier et s’en sert pour afficher des pages étrangères à l’entreprise. L’hébergeur suspend le site le temps du nettoyage. Résultat : du temps perdu à joindre l’agence et l’hébergeur, les rendez-vous repris au téléphone et les clients inscrits dans les formulaires à prévenir.
Ce qu’une faille dans l’extension Elementor Forms change pour une PME d’ici
Pour une organisation du Québec, le site web est une porte d’entrée commerciale et un lieu où circulent des renseignements de clients. Tenir les extensions à jour fait partie des contrôles de cybersécurité de base que recommande le Centre canadien pour la cybersécurité aux petites et moyennes organisations. Cela réduit fortement l’exposition.
Quoi faire maintenant
- Dresser avec votre prestataire la liste des extensions installées et leurs versions.
- Sauvegarder le site en entier et vérifier que la sauvegarde est récupérable.
- Faire passer le module en version 1.0.8 ou plus récente.
- Désactiver le module si l’opération est impossible dans l’immédiat.
- Inscrire au calendrier une revue périodique des extensions du site.
FAQ
Notre site est tout petit, est-ce qu’on intéresse vraiment quelqu’un ?
La taille n’est pas un critère de protection. Le Centre canadien pour la cybersécurité adresse ses contrôles de cybersécurité de base à toutes les petites et moyennes organisations, sans distinction de secteur ni de taille. Être petit ne met personne hors de portée. C’est un argument pour une routine d’entretien simple et régulière.
Le passage en version 1.0.8 risque-t-il de briser notre site ?
C’est pour cela que la sauvegarde complète vient avant, et qu’un prestataire fait le travail plutôt qu’un clic improvisé un vendredi après-midi. Si l’opération pose problème, désactiver temporairement le module referme l’ouverture. Nous ne pouvons pas annoncer de délai : cela dépend de votre site et de votre hébergement.
Peut-on nous garantir qu’on ne sera jamais touchés ?
Non, et il faut se méfier de tout discours qui promet une protection totale. Il n’existe pas de risque zéro en sécurité informatique, et aucun prestataire honnête ne le prétendra. L’écart se situe entre une organisation qui met à jour, sauvegarde et vérifie, et une autre qui remet cela à plus tard. Ce sont ces gestes qui rendent le scénario nettement plus difficile.
Sources
- Fiche CVE-2026-124814 de la National Vulnerability Database · NIST, 12 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-124814
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
