La faille WP Duplicate touche une extension du gestionnaire de site WordPress et reçoit 9,8 sur 10 selon la fiche NVD, note attribuée par l’organisme déclarant (CNA). Si cette extension se trouve sur un de vos sites, faites-la désactiver et retirer, puis demandez à votre prestataire de vérifier l’état du site.
C’est quoi ?
Une extension ajoutée à un site WordPress permet à un inconnu, sans mot de passe, de déposer des fichiers sur le serveur et de prendre la main sur le site.
La vulnérabilité porte l’identifiant CVE-2026-123751. Selon la description de la fiche NVD, l’extension ne vérifie pas correctement l’identité de celui qui lui adresse une demande, ni la nature de ce qui est déposé. Un attaquant non authentifié, c’est-à-dire quelqu’un qui n’a aucun compte sur votre site, peut donc y installer ce qu’il veut et faire exécuter ses propres instructions par le serveur, l’ordinateur qui héberge votre site et affiche vos pages aux visiteurs. C’est le chalet qu’on ferme pour l’hiver en laissant la clé sous le paillasson : la porte est bien verrouillée, mais n’importe quel passant peut entrer, s’installer et repartir quand bon lui semble.
Pourquoi c’est grave ?
La note de gravité est quasi maximale et la fiche officielle se contredit sur l’exploitation réelle, ce qui invite à agir sans attendre d’y voir clair.
Le score de 9,8 sur 10 a été attribué par l’organisme déclarant (CNA), selon la fiche NVD publiée le 9 novembre 2026. Il s’appuie sur CVSS 3.1, le barème international qui note la gravité d’une vulnérabilité de 0 à 10. La description de cette fiche affirme que la vulnérabilité est activement exploitée. Le champ « Exploitation » de la même fiche indique qu’aucune exploitation n’est signalée à ce jour. Nous ne tranchons pas cette contradiction. En termes d’affaires, le scénario qu’ouvre cette faille est un site indisponible ou maquillé, des renseignements de clients accessibles, et une page de paiement ou de formulaire détournée à des fins de fraude.
Ça touche qui ?
L’extension WP Duplicate pour WordPress, dans toutes ses versions jusqu’à 1.1.11 incluse.
La fiche NVD ne précise pas l’éditeur de l’extension et ne mentionne aucune version corrigée. Tant qu’un correctif n’est pas confirmé, la désactivation puis le retrait de l’extension restent la mesure recommandée. Cela concerne n’importe quelle organisation d’ici dont le site public tourne sous WordPress : garage, clinique, transporteur, cabinet comptable, commerce de détail, organisme sans but lucratif.
Comment vérifier dans mon entreprise ?
Faire confirmer par qui détient les accès si l’extension est présente, et sur quels sites.
- Demander à votre prestataire informatique ou à votre agence Web la liste des extensions installées sur chacun de vos sites WordPress, y compris les sites secondaires et les pages de campagne (direction, par écrit).
- Faire confirmer la présence ou l’absence de WP Duplicate et, le cas échéant, la version en place (prestataire informatique ou fournisseur du site).
- Faire vérifier qu’une sauvegarde récente du site existe et qu’elle a été testée, avant toute intervention (prestataire informatique).
- Faire examiner les fichiers du site et ses journaux d’accès, le relevé automatique des connexions et des opérations conservé par l’hébergeur, pour repérer des fichiers inattendus ou des modifications inexpliquées (prestataire informatique).
Mise en situation
Exemple fictif : une clinique dentaire de région dont le site sert aussi à la prise de rendez-vous.
L’extension est restée en place après la refonte du site, il y a deux ans. Un matin, le site affiche une page étrangère et le formulaire de rendez-vous ne répond plus. La réception reprend les appels à la main et la journée se passe à replacer des patients. Le site est restauré, mais la clinique doit ensuite établir si des renseignements personnels ont pu être touchés et, le cas échéant, consigner l’incident. La remise en ordre déborde largement la facture informatique.
Quoi faire maintenant
- Dresser avec votre prestataire l’inventaire de vos sites WordPress et de leurs extensions.
- Vérifier qu’une sauvegarde récente et testée est disponible avant de toucher au site.
- Désactiver puis retirer l’extension WP Duplicate tant qu’aucune version corrigée n’est confirmée par une source fiable.
- Faire inspecter les fichiers et les journaux d’accès du site.
- Obtenir de votre fournisseur Web une confirmation écrite de l’état des extensions et du suivi des mises à jour.
Ce que la faille WP Duplicate change pour une organisation d’ici
Au Québec, la Loi 25 impose aux entreprises de tenir un registre des incidents de confidentialité et, lorsque le risque de préjudice sérieux existe, d’en aviser la Commission d’accès à l’information et les personnes concernées. Ces obligations se rattachent à une atteinte touchant des renseignements personnels : la compromission d’un site public n’en constitue pas forcément une, d’où l’importance de faire établir ce qui a été touché. Le Centre canadien pour la cybersécurité classe la mise à jour des logiciels parmi ses contrôles de base pour les PME. Il n’existe pas de protection absolue et aucun prestataire ne peut garantir un risque zéro : retirer une extension vulnérable rend simplement ce scénario nettement plus difficile.
FAQ
Notre site est un simple site vitrine, est-ce vraiment un risque ?
Oui. La faille permet d’exécuter du code sur le serveur, pas seulement de modifier une page. Un site vitrine compromis peut servir à héberger des contenus frauduleux, à viser vos visiteurs ou à envoyer des courriels en votre nom. La taille de l’entreprise n’entre pas en jeu : c’est la présence de l’extension qui crée l’exposition.
Faut-il attendre une mise à jour de l’éditeur ?
La fiche NVD ne mentionne aucune version corrigée et ne précise pas l’éditeur. Attendre revient donc à rester exposé pour une durée inconnue. Le geste raisonnable est de désactiver et de retirer l’extension maintenant, puis de réévaluer si un correctif est publié et confirmé. Les fonctions de copie de site peuvent être assurées autrement par votre prestataire.
Comment savoir si notre site a déjà été touché ?
Cela demande un examen par une personne compétente : fichiers du site, dates de modification, journaux d’accès, comptes administrateurs existants. Un site qui semble normal peut avoir été modifié. Si quelque chose d’inexpliqué apparaît, conservez les traces avant de restaurer et documentez ce que vous observez.
Sources
- Fiche CVE-2026-123751 de la National Vulnerability Database · NIST, 9 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-123751
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
