La faille Good Homes, publiée le 29 octobre 2026 sous l’identifiant CVE-2026-62017, touche un thème pour sites WordPress. Elle est notée 9,8 sur 10 sur l’échelle CVSS 3.1, note attribuée par l’organisme déclarant (CNA) selon la fiche NVD. Aucune exploitation n’est signalée dans cette fiche : faites confirmer par votre prestataire informatique si votre site utilise ce thème, et dans quelle version.
C’est quoi ?
Un thème de site Web contient un défaut qu’un visiteur inconnu peut solliciter sans compte ni mot de passe.
Un thème WordPress, c’est l’habillage d’un site : mise en page, couleurs, gabarits de pages. Sous l’identifiant CVE-2026-62017, la fiche NVD décrit un défaut d’injection d’objet PHP dans le thème Good Homes de l’éditeur ThemeREX. Le site traite alors des données venues de l’extérieur comme ses propres consignes internes. La fiche ne dit pas ce qu’un tel défaut permettrait ensuite d’obtenir, et nous ne le supposons pas. Ce qui est établi : aucune authentification préalable n’est requise, donc aucun compte, aucun mot de passe. C’est la porte de côté qu’on oublie de verrouiller pendant qu’on vérifie soigneusement la serrure de la porte d’entrée.
Pourquoi c’est grave ?
La note est de 9,8 sur 10 selon la fiche NVD, soit presque le maximum, et aucune exploitation n’est signalée à ce jour dans cette fiche.
Les fiches consultées ne mentionnent ni exploitation constatée par une autorité, ni preuve de concept publique. Rien de signalé, donc, mais une note très élevée : un défaut utilisable sans compte est à la portée de programmes qui balaient le Web en continu. En affaires, le scénario à redouter est une vitrine indisponible pendant que les clients cherchent vos heures d’ouverture, un formulaire de rendez-vous détourné, des renseignements personnels de clients exposés. Au Québec, un incident de confidentialité touchant des renseignements personnels entraîne des obligations précises : tenue d’un registre et, selon le préjudice, notification à la Commission d’accès à l’information.
Ça touche qui ?
Le thème Good Homes de ThemeREX, dans ses versions 1.3.13 et antérieures, selon la fiche NVD et la base Patchstack.
Les fiches consultées n’indiquent aucune version corrigée à ce jour, et nous le disons tel quel. Elles ne donnent ni le nombre de sites concernés ni le secteur visé. Toute entreprise dont le site Web a été bâti sur WordPress avec ce thème est concernée : commerce de détail, clinique, transporteur, cabinet de services.
Comment vérifier dans mon entreprise ?
Une seule question à poser par courriel, et la réponse doit être écrite.
- Demander au prestataire informatique ou à l’hébergeur si le site utilise le thème Good Homes et, le cas échéant, sa version exacte (demande de la direction, réponse écrite).
- Faire prendre et tester une sauvegarde récente avant toute modification (prestataire informatique).
- Faire retirer le thème s’il n’est plus utilisé : installé mais inactif, il demeure exploitable (prestataire informatique).
Mise en situation
Exemple fictif : une clinique dentaire de quartier dont le site n’a pas été touché depuis sa mise en ligne.
Le site a été monté par un fournisseur qui n’est plus en affaires. Un lundi matin, la page d’accueil affiche un message qui n’a rien à voir avec la clinique, et le formulaire de rendez-vous ne répond plus. La direction doit trouver en urgence un nouveau prestataire, vérifier si des coordonnées de patients ont été exposées, consigner l’événement et évaluer s’il faut aviser les personnes concernées.
Ce que la faille Good Homes change pour une PME d’ici
Pour une organisation du Québec ou du Canada, cette alerte ne demande pas un projet, mais une question et une réponse écrite. Les contrôles de base du Centre canadien pour la cybersécurité valent ici pleinement : savoir ce qui tourne sur ses systèmes, appliquer les correctifs, garder des sauvegardes utilisables. C’est l’avis de verglas à la radio : on ignore quand la route sera glacée, et on ne remet pas le sel au lendemain.
Quoi faire maintenant
- Demandez à votre prestataire la liste des thèmes et des extensions de votre site, avec leurs versions. Les extensions sont les modules ajoutés à WordPress, par exemple un formulaire de contact ou une boutique en ligne.
- Faites prendre une sauvegarde récente et assurez-vous qu’elle se restaure.
- Retirez le thème Good Homes s’il n’est pas utilisé.
- S’il est en service, demandez à votre prestataire quelle mesure temporaire il recommande le temps de la vérification. Faites-lui préciser ce que cela change pour l’accès de vos clients : page d’information, site consultable sans formulaire, ou accès réservé à votre équipe.
- Surveillez la publication d’une version corrigée par ThemeREX et faites-la appliquer dès qu’elle est confirmée.
- Consignez la vérification et sa date, pour garder une trace.
FAQ
Notre entreprise est petite, sommes-nous vraiment visés ?
Les attaques automatisées ne choisissent pas leurs cibles une par une : des programmes parcourent le Web à la recherche de sites dont le thème ou les extensions n’ont pas été mis à jour. Un site de quartier est exposé comme un autre. Les contrôles de base du Centre canadien pour la cybersécurité s’adressent à toutes les organisations, quelle que soit leur taille.
Faut-il attendre la version corrigée avant d’agir ?
Non, et il faut distinguer deux choses. Faire confirmer la présence du thème, prendre une sauvegarde testée et faire surveiller la publication d’un correctif sont des mesures de préparation. Elles vous rendent capables de réagir, mais elles ne corrigent pas le défaut. Ce qui le fait disparaître, c’est de retirer le thème s’il ne sert plus, ou d’appliquer la version corrigée quand l’éditeur en publie une. Si le thème reste en service, demandez quelle mesure temporaire votre prestataire recommande.
Notre prestataire s’en occupe, est-ce suffisant ?
Un prestataire compétent fait l’essentiel du travail, mais la décision et la trace restent à la direction. Demandez une réponse écrite : le thème est-il installé, dans quelle version, la sauvegarde a-t-elle été testée. Méfiez-vous de tout discours qui promet une protection totale : aucun prestataire ne peut garantir un risque zéro.
Sources
- Fiche CVE-2026-62017 de la National Vulnerability Database · NIST, 29 octobre 2026
- Avis de sécurité (patchstack.com) · patchstack.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-62017
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
