Sommaire
Wordfence vient de franchir une étape inquiétante : dans son laboratoire, l’équipe a reproduit l’exécution de code à distance sur un site WordPress via la faille Brotli CVE-2026-111497, notée 9,2/10. Une simple requête non authentifiée vers le pingback XML-RPC suffit à faire récupérer par le site une réponse compressée piégée, et le décodeur Brotli vulnérable exécute alors du code avec les droits du processus PHP — du moins sur l’environnement testé (WordPress 7.1.3, PHP 8.3.36). Après la seule mise à jour de Brotli, la même attaque n’a plus rien donné.
Le piège, c’est que ce n’est pas WordPress qu’il faut mettre à jour, mais la bibliothèque Brotli du serveur (versions 1.0.3 à 1.2.0 vulnérables, corrigées en 1.0.10, 1.1.1 et 1.2.1 dès le 21 octobre). La faille figure au catalogue des vulnérabilités exploitées de la CISA depuis le 27 octobre, des tentatives d’exploitation sont toujours observées ce 2 novembre, mais aucune compromission en production via WordPress n’a été confirmée publiquement à ce jour. En hébergement mutualisé, la question est donc simple à poser à votre hébergeur : la bibliothèque Brotli utilisée par mon site contient-elle le correctif, et les services ont-ils été redémarrés après ?
Lento dit : Mettre à jour WordPress ne suffira pas, cette fois. La faille est dans la bibliothèque du serveur, pas dans votre site — alors posez la question à votre hébergeur, et ne le lâchez pas tant qu’il ne vous a pas confirmé le correctif ET le redémarrage des services.
