Une faille dans Pie Register Premium, une extension ajoutée au logiciel de site web WordPress, reçoit un score de gravité CVSS 3.1 de 9,8 sur 10 dans la fiche publiée le 28 octobre 2026 par la National Vulnerability Database (NVD), le répertoire public de vulnérabilités du NIST américain. Si votre site utilise cette extension en version 3.8.4.0 ou antérieure, faites vérifier son état dès maintenant et surveillez la sortie d’un correctif chez l’éditeur.
C’est quoi ?
La vulnérabilité CVE-2026-84999 permet à une personne non authentifiée, c’est-à-dire sans compte ni mot de passe, de déposer des fichiers dangereux sur un site WordPress équipé de cette extension.
Imaginez le chalet qu’on ferme pour l’hiver : on verrouille la porte avant et on range la clé, mais la porte de garage est restée ouverte et personne ne vient voir. C’est l’esprit de cette faille. L’extension, qui sert à inscrire des membres sur un site, lance bien une vérification du type de fichier déposé. Mais elle ne tient jamais compte du résultat de sa propre vérification. Selon la description de la fiche NVD, un fichier dangereux peut alors être enregistré sur le serveur. Cela ouvre la voie à une exécution de code à distance : l’attaquant peut faire tourner ses propres instructions sur la machine qui héberge votre site.
Pourquoi c’est grave ?
Le score de gravité CVSS 3.1 est de 9,8 sur 10 dans la fiche NVD, attribué par l’organisme déclarant (CNA). Aucune exploitation n’est signalée à ce jour dans cette fiche.
En langage d’affaires, un site détourné veut dire des pages modifiées sous votre nom, ou des renseignements de clients aspirés dans les formulaires d’inscription. Votre site peut aussi devenir un relais pour distribuer des logiciels malveillants à vos propres visiteurs. Rappelons qu’une fuite de renseignements personnels déclenche des obligations au Québec, notamment la tenue d’un registre des incidents et, selon la gravité, une notification à la Commission d’accès à l’information.
Le fait qu’aucune attaque ne soit signalée ne garantit pas qu’il n’y en aura pas. C’est comme le détecteur de fumée du corridor : on en vérifie la pile sans savoir s’il y aura un jour un feu.
Ça touche qui ?
Le produit visé est Pie Register Premium, de l’éditeur Pie Register, dans toutes les versions jusqu’à 3.8.4.0 incluse.
Aucune version corrigée n’est précisée dans la fiche NVD ni dans les éléments publics que nous avons consultés : c’est une information manquante à ce jour, à aller chercher auprès de l’éditeur. L’extension sert à gérer l’inscription et les comptes de membres sur un site WordPress. Les fiches ne documentent pas quelles organisations l’utilisent. À titre d’exemples possibles, ce type d’outil se retrouve là où un visiteur peut se créer un compte : clinique, club ou association, commerce avec espace client, organisme à but non lucratif (OBNL), cabinet professionnel.
Comment vérifier dans mon entreprise ?
Ouvrir la liste des extensions du site et lire la version installée suffit pour savoir si vous êtes concerné.
- Faire ouvrir le tableau de bord WordPress, section Extensions, pour voir si Pie Register Premium est installée et en quelle version (direction, avec la personne qui gère le site).
- Si la version est 3.8.4.0 ou antérieure, désactiver l’extension lorsque le site peut fonctionner sans elle (prestataire informatique).
- Consulter le site de l’éditeur pour savoir si une version corrigée existe (prestataire informatique ou fournisseur du logiciel).
- Faire repérer les fichiers récemment déposés dans les dossiers de téléversement, et sauvegarder le site avant toute intervention (webmestre ou hébergeur).
Mise en situation
Exemple fictif : aucune entreprise réelle n’est visée par ce récit.
Une clinique dentaire de région offre à ses patients un espace en ligne pour demander un rendez-vous. Le site a été monté il y a trois ans et l’extension d’inscription n’a plus été touchée depuis. Un matin, la page d’accueil affiche un contenu étranger et le navigateur des visiteurs signale le site comme dangereux. La journée part en appels : l’hébergeur, le webmestre, les patients à rassurer. Dans ce récit, personne ne savait quelle version de l’extension tournait sur le site, ni qui en avait la responsabilité.
Ce que la faille dans Pie Register Premium change ici
Pour une organisation du Québec ou du Canada, le site web est souvent la porte d’entrée commerciale et le lieu où transitent des renseignements personnels. Une extension oubliée devient donc un enjeu de pérennité, pas un détail informatique. Soyons clairs : il n’existe pas de protection absolue, et méfiez-vous de tout discours qui promet une protection totale. Ce qui fonctionne, ce sont les gestes de base recommandés par le Centre canadien pour la cybersécurité, appliqués régulièrement.
Quoi faire maintenant
- Vérifiez la présence et la version de l’extension sur chacun de vos sites.
- Sauvegardez le site au complet, et testez que la sauvegarde se restaure.
- Désactivez l’extension si votre site peut s’en passer, le temps qu’un correctif paraisse.
- Mettez à jour dès que l’éditeur publie une version corrigée, puis faites confirmer par écrit le numéro de version en service.
- Inscrivez au calendrier une revue des extensions, avec un responsable nommé.
FAQ
Notre site est petit, est-ce qu’un attaquant s’y intéresse vraiment ?
Nous n’avons aucun élément sur un ciblage propre à cette faille. De façon générale, une part du repérage des sites vulnérables est automatisée, et une petite organisation n’est pas écartée pour autant : c’est d’ailleurs pourquoi le Centre canadien pour la cybersécurité publie des contrôles de base destinés aux petites et moyennes organisations. La taille joue surtout sur la capacité d’absorber les conséquences.
Aucune attaque n’est signalée. Peut-on attendre la refonte du site ?
La fiche NVD n’indique aucune exploitation à ce jour, et nous n’en disons pas plus. Mais un score de 9,8 sur 10 situe cette vulnérabilité au haut de l’échelle CVSS 3.1. Lire la version installée se fait sans toucher au projet de refonte.
Qui doit s’en occuper chez nous ?
La direction décide et fixe l’échéance. La lecture de la version se fait dans le tableau de bord du site, par la personne qui l’administre. La mise à jour, la sauvegarde et l’examen des fichiers déposés relèvent du prestataire informatique ou de l’hébergeur.
Sources
- Fiche CVE-2026-84999 de la National Vulnerability Database · NIST, 28 octobre 2026
- Avis de sécurité (pieregister.com) · pieregister.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-84999
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
