La faille dans Ultra Addons for Contact Form 7, extension du gestionnaire de site web WordPress, reçoit 9,8 sur 10 selon la fiche NVD publiée le 2 novembre 2026. Si votre site l’utilise, faites vérifier la version installée et désactivez la génération de PDF de l’extension.
C’est quoi ?
Un défaut de l’extension Ultra Addons for Contact Form 7 permet à un inconnu, sans compte ni mot de passe, de faire supprimer des fichiers du site. Son identifiant officiel est CVE-2026-102435.
Un site WordPress est un assemblage de pièces : le thème pour la façade, les extensions pour les services. Ici, une de ces pièces accepte des demandes venues de l’extérieur sans vérifier assez sérieusement ce qu’elle doit toucher. C’est la clé laissée sous le paillasson : la porte a l’air verrouillée, mais qui connaît la cachette entre sans rien forcer. Quand des fichiers essentiels disparaissent, le site peut tomber en panne ou passer sous le contrôle de la personne entrée. La fiche vient de la NVD, le répertoire public de failles tenu par le NIST, organisme américain de normalisation. Elle précise que le problème ne se manifeste que si la génération de PDF est active. Il faut aussi qu’un formulaire Contact Form 7 serve à produire ces documents, ces fichiers figés qu’on envoie par courriel.
Pourquoi c’est grave ?
9,8 sur 10 : c’est le score CVSS 3.1 attribué par l’organisme déclarant (CNA) et repris dans la fiche NVD. Aucune exploitation n’est signalée dans les fiches consultées.
Qu’aucun identifiant ne soit requis est un facteur de gravité : ni compte ni mot de passe ne barrent la route. Ce facteur n’explique toutefois pas à lui seul la note. En langage d’affaires, les conséquences possibles sont un site vitrine hors service et des demandes de clients qui n’arrivent plus. S’y ajoutent des renseignements personnels confiés par formulaire qui deviennent exposés, et un site détourné pour héberger une fraude signée de votre nom. Rappelons qu’au Québec, la loi sur la protection des renseignements personnels dans le secteur privé impose la tenue d’un registre des incidents de confidentialité. Dans certains cas, elle exige aussi un avis à la Commission d’accès à l’information. Nous insistons : à ce jour, rien n’est signalé dans les fiches consultées, et cela ne permet pas de prédire la suite.
Ça touche qui ?
Les sites WordPress équipés de l’extension Ultra Addons for Contact Form 7 de themefic, dans toutes les versions jusqu’à 3.5.54 incluse.
La version corrigée n’est pas précisée dans les fiches consultées : elle doit être confirmée auprès de themefic ou dans le dépôt officiel des extensions WordPress. Cela peut concerner toute PME d’ici dont le site a été monté avec WordPress : cliniques, garages, cabinets de services professionnels, commerces et organismes sans but lucratif. Une organisation ne sait pas toujours quelles extensions tournent sur son site : le choix revient souvent au prestataire qui l’a conçu.
Comment vérifier dans mon entreprise ?
Faites effectuer les vérifications ci-dessous auprès de votre prestataire informatique ou de votre agence web, sans attendre.
- Faire dresser la liste des extensions installées et des versions en place (prestataire informatique ou agence web).
- Vérifier si la génération de PDF est activée dans cette extension et si un formulaire sert à produire des PDF (prestataire informatique).
- Demander à l’éditeur themefic, ou consulter le dépôt officiel des extensions, quelle version corrige la faille (prestataire ou fournisseur du logiciel).
- Confirmer qu’une sauvegarde récente du site et de sa configuration existe et qu’elle a déjà été testée (direction, avec le prestataire).
Mise en situation
Exemple fictif : une clinique dentaire de région dont le site n’a pas été mis à jour.
Un mardi matin, le site ne répond plus. Le formulaire de rendez-vous en ligne a disparu, et avec lui les demandes reçues la veille. Deux jours plus tard, la clinique doit expliquer à sa clientèle que des renseignements transmis par formulaire ont pu être consultés.
Ce que la faille dans Ultra Addons change pour une organisation d’ici
Pour une entreprise québécoise, le site web n’est pas un dépliant : c’est une porte d’entrée commerciale et un dépôt de renseignements sur la clientèle. Un correctif d’extension devient alors une décision de direction.
Quoi faire maintenant
- Demandez aujourd’hui la liste des extensions et des versions de votre site.
- Désactivez la génération de PDF de cette extension tant qu’une version corrigée n’est pas confirmée.
- Confirmez auprès de l’éditeur, ou dans le dépôt officiel des extensions, qu’une version corrigée est disponible, puis installez-la après une sauvegarde.
- Inscrivez la mise à jour des extensions dans une routine suivie, avec une personne responsable nommée.
- Vérifiez vos sauvegardes en faisant une restauration d’essai.
FAQ
Aucune exploitation n’est signalée : faut-il agir tout de suite ?
Oui. Une absence d’exploitation signalée est une photo du moment, prise par les fiches consultées, pas une garantie. Avec une note de 9,8 sur 10 et une attaque sans mot de passe, mieux vaut agir au calme.
Nous n’avons qu’un petit site vitrine. Sommes-nous visés ?
La taille ne protège pas. Le Centre canadien pour la cybersécurité rappelle que toutes les organisations canadiennes sont exposées, peu importe leur secteur et leur nombre d’employés.
Désactiver la génération de PDF règle-t-il le problème ?
Cela réduit fortement l’exposition : la fiche NVD précise que la faille ne se manifeste que si cette fonction est active. Ce n’est pas un remplacement de la mise à jour : la version corrigée doit être installée dès que l’éditeur la confirme. Rappelons qu’il n’existe pas de protection absolue : aucun prestataire sérieux ne promet un risque zéro.
Sources
- Fiche CVE-2026-102435 de la National Vulnerability Database · NIST, 2 novembre 2026
- Centre canadien pour la cybersécurité : vue d’ensemble des menaces par rançongiciel de 2025 à 2027 · exposition de toutes les organisations canadiennes
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-102435
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
