La faille dans Project Manager WordPress, une extension de gestion de projets, est notée 9,8 sur 10 selon la fiche NVD et touche toutes les versions jusqu’à la 4.1.1 incluse. Si ce module est présent sur votre site, désactivez-le et appliquez la mise à jour dès qu’une version corrigée est disponible.
C’est quoi ?
Une extension ajoutée aux sites WordPress permet, dans certaines conditions, à une personne sans mot de passe de faire exécuter ses instructions par le serveur du site.
Un site WordPress est bâti avec un logiciel très répandu, auquel on ajoute des modules appelés extensions. Celle visée ici, éditée par wedevs, sert à suivre projets, tâches, temps travaillé et tableaux Kanban, soit des colonnes où l’on déplace les tâches de « à faire » à « terminé ». Selon la fiche NVD de CVE-2026-116512, un visiteur non authentifié peut amener le serveur à exécuter du code. Non authentifié veut dire : sans compte ni mot de passe sur le site; exécuter du code, c’est faire suivre à cette machine ses propres instructions. C’est le chalet qu’on croit bien fermé pour l’hiver : la porte avant est verrouillée, mais une entrée secondaire reste ouverte et personne ne vérifie qui passe par là.
Pourquoi c’est grave ?
La faille ouvre un accès au serveur sans mot de passe, et la fiche NVD lui attribue 9,8 sur 10.
Le score est de 9,8 sur 10 sur l’échelle CVSS 3.1, une grille internationale qui note la gravité d’une faille de 0 à 10; il est attribué par l’organisme déclarant (CNA) selon la fiche NVD. Qui prend la main sur le serveur peut couper le site, en détourner le contenu ou consulter ce qui s’y trouve : coordonnées de clients, formulaires, pièces déposées. Pour une organisation du Québec, une fuite de renseignements personnels n’est pas qu’un ennui informatique. La Loi sur la protection des renseignements personnels dans le secteur privé impose un registre des incidents de confidentialité et, dans les cas prévus, une notification à la Commission d’accès à l’information. La fiche NVD a été publiée le 31 octobre 2026 et ne signale aucune exploitation à la date de consultation. Aucun correctif n’y est précisé, ce qui ne signifie pas qu’il n’en existe pas : posez la question à l’éditeur ou au revendeur.
Ça touche qui ?
Les sites WordPress sur lesquels l’extension Project Manager de wedevs est installée, en version 4.1.1 ou antérieure.
Le produit visé est Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker, de l’éditeur wedevs. Ce genre de module intéresse les organisations qui pilotent leurs mandats en ligne : cliniques, cabinets comptables, transporteurs, OBNL. Pour une PME du Québec ou du Canada, la question concrète est de savoir si cette extension tourne sur l’un de ses sites, et dans quelle version.
Comment vérifier dans mon entreprise ?
Vérifiez si l’extension est installée, dans quelle version, et l’état de vos sauvegardes.
- Faire ouvrir le tableau de bord WordPress, section Extensions, pour voir si le module est installé et dans quelle version : prestataire informatique ou responsable Web.
- Faire examiner les journaux du site, soit les registres où le serveur note visites et actions, et les fichiers modifiés récemment : hébergeur ou responsable Web.
- Confirmer qu’une sauvegarde récente du site et de sa base de données (où sont stockés contenus, comptes et formulaires) existe, qu’elle a été testée et qu’elle est conservée hors du serveur : direction, avec le prestataire.
- Demander à l’éditeur ou au revendeur du module si une version corrigée est disponible : fournisseur du logiciel.
Mise en situation
Exemple fictif : un cabinet comptable de région dont le site sert de portail de dépôt de documents.
Personne n’a touché au site depuis deux ans. Un lundi matin, le portail affiche une page inconnue et l’hébergeur le suspend le temps de comprendre. Les clients qui devaient déposer leurs pièces appellent, et il faut prévenir les personnes dont les documents étaient hébergés là.
Quoi faire maintenant
- Dresser la liste des sites Web de l’entreprise et des extensions installées sur chacun.
- Désactiver le module en version 4.1.1 ou antérieure, et demander à l’éditeur ou au revendeur si une version corrigée existe.
- Appliquer la mise à jour dès sa disponibilité, puis vérifier que le site fonctionne normalement.
- Faire contrôler les journaux et les fichiers du site par l’hébergeur ou le responsable Web.
- Disposer d’une sauvegarde récente et testée, conservée hors du serveur, plutôt que de restaurer le site systématiquement.
Faille dans Project Manager WordPress : ce que nous en retenons
La leçon ne porte pas sur un module en particulier : les extensions d’un site vieillissent sans prévenir, et tenir leur inventaire à jour réduit fortement l’exposition. Aucun prestataire ne peut garantir un risque zéro.
FAQ
Nous n’avons pas ce module, sommes-nous tranquilles ?
Pour cette fiche précise, oui. Mais la question utile est ailleurs : savez-vous quelles extensions tournent sur votre site, et qui les met à jour ? Faites établir cette liste et notez qui en a la responsabilité.
Faut-il fermer le site au complet ?
Dans la plupart des cas, non. Désactiver l’extension visée retire le chemin décrit dans la fiche NVD. En revanche, les pages et les fonctions du site qui reposent sur ce module cesseront de répondre, et la fiche ne permet pas d’en prévoir l’effet sur vos activités : mesurez-le avec votre responsable Web et prévenez les personnes concernées. Si des traces inhabituelles apparaissent, suspendre le site le temps de valider les fichiers et la base de données devient prudent.
Nous n’avons pas d’informaticien, qui s’en occupe ?
Votre hébergeur Web est le premier point de contact : il a accès au serveur, aux journaux et souvent aux sauvegardes. À défaut, le pigiste ou l’agence qui a monté le site. La direction, elle, doit savoir qui détient les accès et confirmer qu’une sauvegarde récente existe.
Sources
- Fiche CVE-2026-116512 de la National Vulnerability Database · NIST, 31 octobre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-116512
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
