Sommaire
Optimole, le plugin d’optimisation d’images très utilisé sur WordPress, contient une faille qui permet à un attaquant sans compte d’effacer des fichiers sur le serveur — y compris wp-config.php, ce qui peut ensuite mener à une prise de contrôle du site. La faille (CVE-2026-124969, notée 7,1/10) a été publiée le 13 novembre par Wordfence et touche toutes les versions jusqu’à la 4.2.19.
Le piège se joue en deux temps : l’attaquant glisse un contenu malveillant dans un commentaire, puis il suffit qu’un administrateur utilise ensuite la fonction « Renommer » du plugin sur une pièce jointe pour que la suppression se déclenche. Il faut aussi que la bibliothèque Archive_Tar soit présente sur l’hébergement, ce qui est courant. Aucune exploitation dans la nature n’a été signalée pour l’instant, mais le correctif est là : passez en 4.2.20 et vérifiez que votre wp-config.php est intact.
Lento dit : Un commentaire piégé, un clic de l’admin sur « Renommer », et votre wp-config.php part en fumée. Mettez à jour en 4.2.20 avant de toucher à votre médiathèque — et si vos commentaires sont ouverts à tout le monde sans modération, c’est le moment de vous poser la question.
