Sommaire
Si votre site WordPress utilise ACF Extended, vérifiez votre version sans tarder. Une faille d’exécution de code à distance, référencée CVE-2026-94267 et notée 9,0/10, touche toutes les versions antérieures à la 0.9.2.8 de l’extension (100 000+ installations). En cause : l’absence de contrôle des droits lors de la mise à jour d’un article via une action de formulaire en front-end. Un visiteur non authentifié peut alors écraser des articles — y compris ceux qui stockent les définitions de champs du plugin — et en arriver à exécuter du code sur le serveur.
Attention, la faille n’est exploitable que si le site publie un formulaire dont l’action de mise à jour laisse le visiteur choisir à la fois la cible et le contenu. Tous les sites ne sont donc pas exposés, mais le correctif existe déjà (version 0.9.2.8) et aucune exploitation n’a été signalée à ce jour : c’est le moment de mettre à jour, puis de vérifier qu’aucun compte administrateur inconnu ni aucun article modifié n’est apparu.
Lento dit : une faille notée 9/10 sur un plugin installé sur 100 000 sites, et le correctif est déjà là depuis une semaine. Si vous avez un formulaire ACF en front-end, ne jouez pas au plus malin : mettez à jour ce soir. C’est toujours comme ça qu’on se fait pirater, en remettant la mise à jour à demain.
