WordPress 7.0.4 : mise à jour urgente contre une faille RCE

WordPress 7.0.4 est une mise à jour de sécurité à installer sans attendre. Publiée le 12 août 2026, elle corrige la vulnérabilité CVE-2026-65640, susceptible de conduire à une exécution de code à distance dans une configuration précise : un compte disposant au minimum du rôle Auteur, un fichier malveillant téléversé, et un serveur utilisant Imagick avec Ghostscript. Le risque n’est donc pas identique sur tous les sites, mais la recommandation officielle reste claire : mettre WordPress à jour immédiatement.

Ce que corrige WordPress 7.0.4

Le bulletin officiel WordPress décrit une vulnérabilité d’exécution de code à distance authentifiée. Elle est référencée CVE-2026-65640 et GHSA-8vr3-7mxf-gx8w. Le scénario documenté concerne le traitement d’un fichier spécialement préparé par un utilisateur ayant le rôle Auteur ou un rôle supérieur, lorsque le serveur s’appuie sur Imagick et Ghostscript pour traiter les médias.

Trois conditions à distinguer

• Un compte authentifié : l’attaque documentée n’est pas une compromission anonyme accessible à n’importe quel visiteur.
• Un droit de téléversement : le compte doit pouvoir envoyer un fichier dans la médiathèque ou disposer d’une capacité équivalente.
• Une chaîne de traitement concernée : Imagick et Ghostscript doivent être utilisés par l’environnement d’hébergement.

Cette précision est importante : elle permet d’évaluer le risque sans dramatiser. Elle ne justifie toutefois pas de rester sur une version vulnérable. Un ancien compte Auteur oublié, un mot de passe réutilisé ou un accès collaborateur insuffisamment surveillé peuvent transformer une condition théorique en point d’entrée réel.

Pourquoi viser directement la version 7.0.4

WordPress 7.0.3, publié le 6 août, avait déjà corrigé plusieurs vulnérabilités, notamment des failles XSS, des divulgations d’informations, une élévation de privilèges sur les installations multisites et un problème de requêtes côté serveur. La version 7.0.4 ajoute le correctif CVE-2026-65640 et constitue la version stable actuelle. Si votre site utilise encore WordPress 7.0.2 ou une version antérieure, l’objectif n’est donc pas de s’arrêter à 7.0.3 : il faut installer 7.0.4.

Les failles corrigées en juillet dans WordPress 7.0.2 sont différentes. Les deux alertes se complètent : elles illustrent l’intérêt d’une maintenance suivie plutôt que de mises à jour occasionnelles.

Comment évaluer l’exposition de son site

Une vérification sérieuse commence par des faits. Évitez de conclure qu’un site est sain uniquement parce qu’il fonctionne normalement : une compromission peut rester discrète. À l’inverse, la présence d’Imagick ne signifie pas que le site a été attaqué.

1. Vérifiez la version installée dans Tableau de bord > Mises à jour. Si 7.0.4 est proposée, planifiez son installation immédiatement.
2. Inventoriez les comptes disposant du rôle Auteur, Éditeur ou Administrateur. Supprimez les accès inutiles et réinitialisez ceux dont la légitimité est incertaine.
3. Contrôlez les droits de téléversement réellement accordés par les rôles natifs, les extensions et les formulaires front-office.
4. Demandez à l’hébergeur si le site utilise Imagick avec Ghostscript. Inutile d’exposer publiquement la configuration du serveur.
5. Examinez les événements récents : nouveaux utilisateurs, médias inattendus, changements de fichiers, tâches planifiées ou connexions inhabituelles.

Mettre à jour WordPress 7.0.4 sans prendre de risque

Cliquer immédiatement sur « Mettre à jour » sans sauvegarde n’est pas une bonne méthode. Reporter le correctif pendant plusieurs jours ne l’est pas davantage. La bonne approche combine rapidité et capacité de retour arrière.

1. Préparer une sauvegarde restaurable

Sauvegardez la base de données et les fichiers, puis vérifiez que la copie est stockée hors de l’hébergement principal. Une sauvegarde dont la restauration n’a jamais été testée reste une promesse, pas un plan de reprise. Notre guide sur la sauvegarde automatique WordPress détaille les fréquences et contrôles utiles.

2. Contrôler la compatibilité

Sur un site vitrine simple, une fenêtre de maintenance courte peut suffire. Pour un WooCommerce, un espace membre ou un site générant des demandes de devis, testez d’abord sur une préproduction fidèle si elle existe. Vérifiez notamment les extensions de cache, de sécurité, de traitement d’images et les développements sur mesure.

3. Installer la version stable

Utilisez le mécanisme de mise à jour natif de WordPress ou la procédure validée par votre hébergeur. Ne téléchargez jamais une archive proposée par un site tiers. La méthode complète est disponible dans notre tutoriel mettre à jour WordPress sans risque.

4. Ne pas neutraliser les protections

Ne désactivez pas durablement le pare-feu, la journalisation ou les contrôles de fichiers pour accélérer l’opération. Si un outil bloque légitimement une étape, documentez l’exception, limitez-la dans le temps et réactivez la protection avant de remettre le site en service.

Contrôles à effectuer après le correctif

Une mise à jour n’est terminée que lorsque le site est testé. Conservez une trace de la date, de la version de départ, de la sauvegarde et des résultats.

• confirmer que le tableau de bord affiche WordPress 7.0.4 ;
• vider les caches applicatifs, serveur et CDN sans supprimer les journaux utiles ;
• tester la connexion, la médiathèque et le téléversement d’une image ordinaire ;
• ouvrir les pages clés sur ordinateur et mobile ;
• envoyer un formulaire de contact et contrôler sa réception ;
• pour WooCommerce, tester le panier, le paiement en mode adapté et les e-mails transactionnels ;
• vérifier l’absence de nouveaux comptes, fichiers ou erreurs inexpliqués ;
• conserver la sauvegarde antérieure pendant la durée définie par votre politique de rétention.

Que faire en cas d’activité suspecte

Un fichier inconnu, un compte inattendu ou une modification inexpliquée ne doit pas être traité comme un simple problème de cache. Limitez les accès, conservez les journaux et une copie des éléments suspects, puis faites établir un diagnostic. Évitez de supprimer précipitamment toutes les traces : elles peuvent être nécessaires pour comprendre le point d’entrée et empêcher une récidive.

Si le site présente déjà des symptômes, suivez les premières mesures de notre dossier site WordPress piraté : confinement, nettoyage et restauration. Une remise en ligne fiable suppose aussi de corriger la cause, de renouveler les accès concernés et de contrôler l’ensemble de la chaîne d’administration.

Pour déléguer la sauvegarde, les mises à jour, la surveillance et les tests, découvrez notre service de maintenance et hébergement WordPress. Pixel Info accompagne les entreprises avec une méthode documentée et proportionnée au risque.

Questions fréquentes sur WordPress 7.0.4

WordPress 7.0.4 est-il une mise à jour obligatoire ?

WordPress ne l’impose pas juridiquement, mais l’équipe de sécurité recommande une installation immédiate. Il s’agit de la version stable qui corrige CVE-2026-65640.

Tous les sites WordPress sont-ils exploitables par cette faille ?

Non. Le scénario documenté requiert notamment un utilisateur authentifié de niveau Auteur ou supérieur et un environnement utilisant Imagick avec Ghostscript. Ces conditions réduisent l’exposition, sans supprimer la nécessité de mettre à jour.

Faut-il attendre WordPress 7.1 ?

Non. Au moment de cette publication, 7.0.4 est la version stable officielle. Attendre une version majeure maintiendrait inutilement le site sur une version vulnérable.

La mise à jour supprime-t-elle une éventuelle compromission ?

Non. Elle ferme la vulnérabilité corrigée, mais ne retire pas automatiquement un compte frauduleux, un fichier modifié ou une porte dérobée déjà présente. En cas de doute, un diagnostic séparé est nécessaire.

Comment vérifier que la mise à jour s’est bien passée ?

Contrôlez la version affichée, les pages essentielles, les formulaires, les téléversements, les commandes éventuelles, les e-mails et les journaux. Vérifiez aussi que la sauvegarde demeure disponible.

Mettre à jour maintenant, puis sécuriser dans la durée

WordPress 7.0.4 apporte un correctif ciblé mais important. La réponse adaptée tient en trois étapes : sauvegarder, installer la version stable, puis contrôler le site et les accès. Cette routine réduit le risque technique tout en protégeant les fonctions commerciales du site.

Vous souhaitez faire vérifier votre WordPress ou organiser sa maintenance ? Contactez Pixel Info pour un diagnostic clair, sans discours alarmiste et avec un plan d’action priorisé.

Sources officielles

• WordPress 7.0.4 Security Release, 12 août 2026.
• WordPress 7.0.3 Security Release, 6 août 2026.
• GitHub Advisory Database — GHSA-8vr3-7mxf-gx8w.
• Documentation officielle : mettre WordPress à jour.