WordPress : trois plugins critiques à auditer cette semaine (Qode Membership, Kirki, JetEngine)

Les plugins sont la première source de failles sur WordPress. Voici trois extensions très répandues à vérifier cette semaine. Pour chacune, nous distinguons ce qui est confirmé par les avis publiés et ce qu'il faut encore contrôler auprès de l'éditeur.

Qode Membership : contournement d'authentification (CVE-2026-92885, CVSS 9,8)

• Nature : une faute de frappe dans une condition de garde de la connexion via Facebook rend la vérification du jeton inopérante. L'authentification est contournée et le compte visé est connecté sans contrôle.
• Exploitation : un attaquant non authentifié appelle une action AJAX du plugin avec l'identifiant d'un compte existant, administrateur compris. Il lui faut un nonce, visible sur toute page publique contenant le shortcode de connexion ou d'inscription du plugin.
• Versions touchées : toutes les versions jusqu'à la 2.0.6.2 incluse.
• Correctif : la version corrigée n'est pas indiquée dans les sources consultées. Vérifiez la page du plugin sur ThemeForest, le journal des modifications et l'avis Wordfence. En attendant, si possible, désactivez la connexion via Facebook ou le plugin.

Kirki : mettre à jour au-delà de la 6.2.5

• Les sources agrégées indiquent que les versions jusqu'à la 6.2.5 sont concernées (CVE-2026-75891, CVSS 8,8).
• Patchstack documente par ailleurs, pour Kirki 6.2.1 à 6.2.5, une faille de type XSS stocké (CVE-2026-84219, publiée le 8 septembre 2026) corrigée en 6.3.0. Nous n'avons pas pu confirmer que les deux CVE décrivent la même faille.
• Conclusion pratique : passez à la dernière version disponible (6.3.0 ou supérieure) et lisez le journal des modifications.

Crocoblock JetEngine : injection SQL (CVE-2026-115608, CVSS 8,5)

Les détails de version n'ont pas pu être confirmés auprès d'un avis éditeur à la date de rédaction. Mettez JetEngine à jour vers la dernière version et consultez le journal des modifications de Crocoblock. Une injection SQL permet de lire, voire de modifier la base de données (comptes, contenus, e-mails).

Checklist d'audit en 6 points

1. Inventaire : listez tous les plugins et thèmes installés, actifs ou non (wp plugin list avec WP-CLI).
2. Versions : comparez avec les dernières versions et les versions vulnérables ci-dessus.
3. Mises à jour : appliquez-les d'abord sur une préproduction, puis en production.
4. Nettoyage : supprimez les plugins inutilisés : un plugin désactivé reste présent sur le disque.
5. Surveillance : repérez les comptes administrateurs créés récemment, les connexions inhabituelles et les fichiers modifiés.
6. Filet de sécurité : sauvegarde récente et testée, plus un WAF devant le site.

Aller plus loin

Pour un durcissement complet, lisez notre guide Sécuriser un site WordPress existant : 15 réglages à appliquer sans attendre. Si votre site devient difficile à maintenir, voyez aussi notre article sur la migration de WordPress vers Laravel.

Sources : CVE Brief (27 octobre 2026), Patchstack, analyse strix.ai de CVE-2026-92885. Vérifiez les avis officiels des éditeurs. Photo : Sora Shimazaki / Pexels.