Une faille dans l’extension WPO365 Login touche les sites WordPress qui ouvrent la session des employés avec un compte Microsoft 365. Elle est notée 9,1 sur 10 selon la fiche NVD, et la mise à jour vers la version 45.2 ou une version plus récente est le geste à faire maintenant.
C’est quoi ?
Un défaut permet de réutiliser une preuve de connexion déjà valide pour entrer dans un site WordPress au nom de quelqu’un d’autre, y compris un administrateur, sans que le système s’en aperçoive.
La vulnérabilité porte l’identifiant CVE-2026-122220. Elle concerne une vérification censée empêcher qu’une même preuve de connexion serve deux fois : la vérification existe, mais elle ne garde pas la trace de ce qui a déjà été utilisé. Imaginez le préposé à l’entrée de l’aréna qui examine chaque billet, le trouve authentique, mais ne le poinçonne jamais. Le même billet peut servir et resservir toute la soirée. Ici, pendant la courte période où la preuve de connexion reste valable, quelqu’un qui l’a interceptée peut s’en servir pour ouvrir une session comme si c’était la vôtre.
Pourquoi c’est grave ?
La faille permet d’usurper un compte dont une preuve de connexion valide a été obtenue, y compris un compte administrateur. La fiche NVD ne signale aucune exploitation à ce jour.
La fiche NVD publie deux notes, attribuées toutes les deux par l’organisme déclarant (CNA) : 9,1 sur 10 en CVSS 4.0 et 7,4 sur 10 en CVSS 3.1. Le CVSS est une méthode d’évaluation de la gravité d’une vulnérabilité; ces deux chiffres correspondent à deux versions de cette méthode, et ni l’une ni l’autre ne mesure la fréquence des attaques. Les deux pointent vers un défaut sérieux. Publiée le 4 novembre 2026, la fiche ne fait état d’aucune exploitation constatée. C’est une bonne nouvelle, pas une raison d’attendre : le correctif est public, et un correctif public indique aussi aux curieux où regarder. Si un compte administrateur passe en de mauvaises mains, les conséquences possibles vont du site modifié ou hors service aux renseignements de clients consultés ou copiés. Une interruption de service et des appels à faire à vos clients font partie des suites envisageables; une compromission n’entraîne pas systématiquement tous ces effets.
Ça touche qui ?
Les sites WordPress équipés de l’extension WPO365 | LOGIN de l’éditeur wpo365 dans une version antérieure à la 45.2.
Le produit visé est WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN), publié par wpo365. Toutes les versions antérieures à la 45.2 sont touchées; la 45.2 corrige le défaut, et une modification publiée dans le dépôt officiel des extensions WordPress en atteste. L’extension sert à ouvrir la session du site avec les identifiants Microsoft 365 de l’entreprise. Les organisations potentiellement concernées sont donc celles qui ont déjà Microsoft 365 au bureau et qui voulaient éviter un deuxième mot de passe pour le site : cabinets professionnels, cliniques, manufacturiers avec un portail client, organismes, commerces de détail. Ces secteurs sont des exemples; les éléments publiés ne documentent pas qui utilise réellement l’extension.
Comment vérifier dans mon entreprise ?
Le tableau de bord WordPress indique si l’extension est installée et dans quelle version.
- Ouvrir la section Extensions du tableau de bord WordPress et noter si WPO365 | LOGIN est installée, et dans quelle version (direction ou personne qui administre le site).
- Comparer cette version avec la 45.2, puis appliquer le correctif après une sauvegarde complète du site (prestataire informatique ou fournisseur du site Web).
- Revoir la liste des comptes administrateurs et les connexions récentes pour repérer un accès inhabituel (prestataire informatique).
- Faire confirmer par écrit que le correctif est installé. Demander aussi l’état de l’authentification multifacteur sur les accès administrateur, c’est-à-dire une deuxième preuve d’identité en plus du mot de passe (direction, auprès du fournisseur du logiciel ou du site).
Mise en situation
Exemple fictif : une clinique dentaire dont le site Web n’a jamais reçu le correctif de son extension de connexion.
Le site sert à la prise de rendez-vous et aux rappels automatiques, et plus personne ne s’occupe des extensions depuis le départ du technicien qui avait monté le site. Un matin, la page d’accueil affiche un texte que la clinique n’a pas écrit et le formulaire de rendez-vous ne répond plus. La réceptionniste passe la journée à confirmer les rendez-vous un par un, et la reprise en main des comptes administrateurs attend la disponibilité du prestataire. Une journée de travail est partie, et la confiance des patients se rebâtit plus lentement qu’un site Web.
Quoi faire maintenant
- Vérifier dès aujourd’hui si l’extension WPO365 | LOGIN est présente sur votre site et dans quelle version.
- Sauvegarder le site au complet, puis installer la version 45.2 ou plus récente.
- Désactiver l’extension si votre site n’utilise pas la connexion unique avec Microsoft 365.
- Examiner les comptes administrateurs et les connexions récentes, et retirer les accès qui ne servent plus.
- Activer l’authentification multifacteur sur tous les accès administrateur du site.
Ce que change la faille dans l’extension WPO365 Login pour une entreprise d’ici
Au Québec, un site Web qui héberge des coordonnées de clients tombe sous la loi sur la protection des renseignements personnels dans le secteur privé : registre des incidents de confidentialité et avis à la Commission d’accès à l’information lorsqu’un incident présente un risque de préjudice sérieux. Corriger une extension vulnérable n’est donc pas qu’une tâche informatique, c’est une mesure de gouvernance. Le Centre canadien pour la cybersécurité classe d’ailleurs les correctifs et l’authentification multifacteur parmi ses contrôles de base pour les petites et moyennes organisations. Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro; ces deux contrôles réduisent tout de même fortement l’exposition.
FAQ
Mon site est petit, est-ce que ça intéresse vraiment quelqu’un ?
La taille n’est pas un bouclier. Les éléments publiés sur cette faille ne disent rien de la façon dont des sites vulnérables seraient repérés, et nous ne l’inventerons pas. Le contexte général, lui, est clair : le Centre canadien pour la cybersécurité adresse ses contrôles de base aux petites et moyennes organisations. Appliquer les correctifs disponibles reste la mesure la plus simple, quelle que soit la taille du site.
La fiche dit qu’aucune attaque n’a été constatée, puis-je attendre ?
Nous ne le recommandons pas. La fiche NVD du 4 novembre 2026 ne signale aucune exploitation, ce qui décrit le présent, pas la semaine prochaine. Le correctif est déjà public : autant l’installer pendant qu’il n’y a pas d’urgence, comme on ferme le chalet avant la première tempête plutôt que pendant.
Qui doit s’occuper de ça chez nous ?
La direction décide et fixe l’échéance; l’exécution revient à la personne ou à la firme qui gère le site. Sans responsable interne, écrivez à votre fournisseur de site Web pour demander la version installée, la date du correctif et l’état de l’authentification multifacteur sur les comptes administrateurs. Conservez la réponse : elle documente votre diligence.
Sources
- Fiche CVE-2026-122220 de la National Vulnerability Database · NIST, 4 novembre 2026
- Avis de sécurité (plugins.trac.wordpress.org) · plugins.trac.wordpress.org
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-122220
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
