La faille FunnelKit Automations concerne une extension pour sites WordPress, dans ses versions 3.8.6.1 et antérieures, avec un score de 9,8 sur 10 attribué par l’organisme déclarant (CNA), selon la NVD. Aucune exploitation n’est signalée à ce jour : le geste utile cette semaine est de savoir si votre site utilise cette extension, et dans quelle version.
C’est quoi ?
Une extension pour sites WordPress comporte un défaut critique, utilisable sans compte ni mot de passe, dans ses versions 3.8.6.1 et antérieures.
WordPress est le logiciel qui fait fonctionner une bonne partie des sites d’entreprise, et une extension est un module qu’on y ajoute pour une fonction précise. La vulnérabilité CVE-2026-39738 a été publiée par la National Vulnerability Database le 30 octobre 2026. C’est une injection d’objet PHP : en clair, l’extension reçoit des données venues de l’extérieur et les traite sans vérifier assez ce qu’elles contiennent, ce qui peut amener le site à exécuter des opérations qui n’étaient pas prévues. C’est le chalet qu’on ferme pour l’hiver : porte avant verrouillée, volets posés, mais la porte de service à l’arrière reste entrouverte, et elle donne sur toute la maison.
Pourquoi c’est grave ?
Presque la note maximale, pour un défaut atteignable sans aucun identifiant.
Le score de 9,8 sur 10 (CVSS 3.1) a été attribué par l’organisme déclarant (CNA), selon la fiche NVD. En langage d’affaires, un site touché peut signifier une boutique en ligne figée, des prises de rendez-vous hors service, des coordonnées de clients exposées ou une page de paiement détournée vers une fraude. Aucune exploitation n’est signalée à ce jour. Nous sommes dans le cas de la tempête annoncée à la météo, celle où il reste du temps pour rentrer les chaises de patio. Rappelons qu’au Québec, un incident de confidentialité touchant des renseignements personnels entraîne des obligations. Il faut tenir un registre des incidents et, en cas de risque de préjudice sérieux, notifier la Commission d’accès à l’information et les personnes concernées.
Ça touche qui ?
FunnelKit Automations, de l’éditeur FunnelKit, dans les versions 3.8.6.1 et antérieures.
Les fiches consultées, NVD et Patchstack, n’indiquent pas de version corrigée : cette information manque, et c’est à l’éditeur qu’il faut la demander. Sont concernées les entreprises dont le site tourne sous WordPress avec cette extension installée : commerce en ligne, prise de rendez-vous, envoi d’infolettres.
Comment vérifier dans mon entreprise ?
Savoir si l’extension est installée, dans quelle version, et qui en assure le suivi.
- Faire ouvrir le tableau de bord WordPress pour confirmer si FunnelKit Automations est installée et quelle version est active (prestataire informatique ou webmestre).
- Demander à l’éditeur, FunnelKit, si une version corrigée est publiée (prestataire informatique).
- Vérifier si quelqu’un surveille les extensions du site et conserve les journaux d’accès, c’est-à-dire les traces des connexions et des requêtes reçues par le site, utiles pour rechercher une activité suspecte (direction, auprès de l’hébergeur ou du contrat de service).
Ce que la faille FunnelKit Automations change pour une PME du Québec
Le site d’une PME est parfois confié à un pigiste ou à une agence, sans que la responsabilité des mises à jour soit clairement attribuée : c’est une situation à vérifier chez vous plutôt qu’un constat général. L’enjeu est donc moins technique que de gouvernance : qui met à jour quoi, et à quel rythme. Le Centre canadien pour la cybersécurité place justement l’application des correctifs parmi ses contrôles de base pour les petites et moyennes organisations.
Mise en situation
Exemple fictif : un garage indépendant dont le site prend les rendez-vous et vend des pneus en ligne.
L’extension n’a pas été mise à jour depuis des mois et l’avis de sécurité n’a été lu par personne. Un matin, la page de rendez-vous ne répond plus et les courriels de confirmation ne partent pas. Le pigiste responsable du site n’est pas joignable. La journée passe au téléphone : reprendre les rendez-vous à la main, prévenir les clients, se demander si des coordonnées ont été consultées. Le garage continue de tourner, mais une journée est perdue et la confiance des clients est entamée.
Quoi faire maintenant
- Inventorier les extensions installées sur votre site WordPress, avec leur version active.
- Vérifier auprès de FunnelKit si une version corrigée est disponible.
- Mettre à jour l’extension dès la publication d’un correctif, puis confirmer la version en service.
- Désactiver l’extension si elle n’est pas essentielle, le temps que le correctif soit appliqué.
- Inscrire au contrat de votre prestataire qui surveille les avis de sécurité et applique les mises à jour.
FAQ
Sommes-nous trop petits pour intéresser quelqu’un ?
Une faille utilisable sans compte ni mot de passe ne trie pas ses cibles selon le chiffre d’affaires : elle concerne tout site qui utilise une version touchée. La vraie question n’est pas votre taille, mais la version installée sur votre site.
Aucune attaque n’est signalée, peut-on attendre ?
Aucune exploitation n’est signalée à ce jour, et c’est une bonne nouvelle, pas un permis d’attendre. Un score de 9,8 sur 10 indique un défaut facile à atteindre et lourd de conséquences. Faites l’inventaire maintenant et appliquez le correctif dès sa publication.
Notre prestataire affirme que tout est sécurisé, que répondre ?
Demandez des faits plutôt que des assurances : la liste des extensions et leurs versions, la date de la dernière mise à jour, le nom de la personne qui suit les avis de sécurité. Méfiez-vous de tout discours qui promet une protection totale, car il n’existe pas de protection absolue et aucun prestataire ne peut garantir un risque zéro. Un bon partenaire parle de réduction d’exposition.
Sources
- Fiche CVE-2026-39738 de la National Vulnerability Database · NIST, 30 octobre 2026
- Avis de sécurité (patchstack.com) · patchstack.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-39738
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
