Une faille de sécurité dans AutomatorWP, une extension du logiciel de site Web WordPress, reçoit la note de 9,8 sur 10 selon la fiche NVD du NIST. Si votre site utilise AutomatorWP Pro et son module Webhooks en version 1.4.4 ou antérieure, faites vérifier la version installée et les automatisations en place.
C’est quoi ?
Un défaut de vérification des autorisations permettrait à un inconnu, sans compte sur le site, de réinitialiser le mot de passe de n’importe quel compte, y compris celui d’un administrateur.
La vulnérabilité, identifiée CVE-2026-126173, concerne le module Webhooks d’AutomatorWP Pro. Un webhook permet à un service extérieur de déclencher une action sur votre site, sans intervention humaine. La fiche NVD est la base documentaire publique du NIST qui recense les vulnérabilités signalées. Elle indique que le module ne vérifie pas correctement si la personne à l’origine de la demande a le droit de la faire. C’est la clé laissée sous le paillasson du chalet : la porte est solide, mais quiconque connaît l’habitude entre sans frapper. La fiche précise aussi que le problème n’apparaît que si un administrateur a mis en place une automatisation précise, prévue par le module.
Pourquoi c’est grave ?
La fiche situe cette vulnérabilité à 9,8 sur 10 sur l’échelle de gravité CVSS 3.1, graduée de 0 à 10, un score attribué par l’organisme déclarant (CNA) selon cette fiche.
Pour une organisation, la prise de contrôle d’un compte administrateur signifie un site inaccessible ou modifié, des formulaires de clients et de patients consultables, des courriels détournés, de fausses coordonnées de paiement affichées à vos clients. La fiche NVD, publiée le 14 novembre 2026, ne signale aucune exploitation et ne mentionne aucune preuve de concept publique. Cela ne signifie pas qu’aucune attaque n’a eu lieu : nous pouvons seulement dire qu’aucune exploitation n’y est signalée à ce jour. La fiche ne précise pas non plus de version corrigée.
Ça touche qui ?
Le module AutomatorWP Webhooks, module complémentaire de l’extension AutomatorWP Pro pour WordPress, éditée par AutomatorWP, dans toutes les versions jusqu’à 1.4.4 incluse.
AutomatorWP sert à automatiser des tâches sur un site WordPress : inscrire un client, envoyer un message, mettre à jour une fiche. Les données dont nous disposons ne précisent ni les organisations touchées ni les secteurs concernés. Toute PME dont le site WordPress repose sur des automatisations peut avoir ce module installé, parfois sans que la direction le sache.
Comment vérifier dans mon entreprise ?
Faites confirmer par votre prestataire la présence d’AutomatorWP Pro et de son module Webhooks, la version installée et les automatisations actives.
- Demander l’inventaire des extensions du site, visible dans le tableau de bord : prestataire informatique ou développeur web.
- Faire confirmer les versions d’AutomatorWP Pro et du module Webhooks, et signaler toute version inférieure ou égale à 1.4.4 : prestataire informatique.
- Faire examiner les automatisations liées au module et retirer celles qui touchent aux mots de passe sans contrôle d’autorisation : prestataire informatique.
- Obtenir de l’éditeur ou du développeur web la version corrigée, puisque la fiche ne l’indique pas : direction.
Mise en situation
Exemple fictif : une clinique dentaire de région, dont le site prend les rendez-vous en ligne, utilise AutomatorWP Pro avec son module Webhooks et l’automatisation concernée.
Un lundi matin, la gestionnaire ne peut plus se connecter : son mot de passe d’administratrice ne fonctionne plus. Les demandes de rendez-vous de la fin de semaine ont disparu et une adresse courriel inconnue figure parmi les comptes du site. Il faut ensuite rappeler les patients, reconstituer l’horaire, évaluer si des renseignements ont été consultés et consigner l’incident.
Ce que la faille de sécurité dans AutomatorWP change pour une organisation d’ici
Au Québec, une entreprise privée doit tenir un registre des incidents de confidentialité. Lorsque l’incident présente un risque de préjudice sérieux, elle doit le déclarer à la Commission d’accès à l’information et aviser les personnes concernées. Et il faut le dire franchement : il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro.
Quoi faire maintenant
- Faire établir sans tarder la version d’AutomatorWP Pro et de son module Webhooks installée sur votre site.
- Faire retirer ou neutraliser l’automatisation concernée si le module est présent dans une version visée.
- Installer la version corrigée dès que l’éditeur l’indique, puis en garder une confirmation écrite.
- Renouveler les mots de passe des comptes administrateurs et activer l’authentification à deux facteurs, une seconde preuve d’identité en plus du mot de passe.
- Supprimer les comptes administrateurs et les extensions qui ne servent plus.
FAQ
Notre site n’utilise pas ce module, sommes-nous concernés ?
Non, pas par cette vulnérabilité : la fiche la limite au module Webhooks d’AutomatorWP Pro, jusqu’à la version 1.4.4 incluse. Le réflexe reste utile ailleurs : tenez à jour l’inventaire des extensions et retirez celles dont personne ne se sert. Faites appliquer les mises à jour : une extension oubliée reste une porte que plus personne ne surveille.
Faut-il attendre notre prestataire ou agir tout de suite ?
Commencez par la vérification depuis le tableau de bord du site. Si le module est présent dans une version visée, votre prestataire informatique ou votre développeur web doit intervenir rapidement. La direction garde la décision du calendrier.
Un correctif existe-t-il ?
La fiche ne précise pas de version corrigée, et nous ne pouvons donc pas l’indiquer ici. Demandez l’information à l’éditeur ou à votre développeur web, puis installez la version recommandée dès qu’elle est disponible. En attendant, les gestes listés plus haut réduisent fortement l’exposition.
Sources
- Fiche CVE-2026-126173 de la National Vulnerability Database · NIST, 14 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-126173
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
