Sommaire
Le plugin Security Optimizer de SiteGround, installé sur plus de 900 000 sites WordPress, contenait une faille qui vidait de son sens la double authentification : il ne limitait pas le nombre de codes 2FA pouvant être soumis lors d’une connexion en attente. Un attaquant connaissant déjà le mot de passe d’un compte pouvait donc essayer les codes les uns après les autres jusqu’à trouver le bon et prendre le contrôle du compte. La faille, référencée CVE-2026-118185 et notée 7,5/10, a été rendue publique le 31 octobre.
Le correctif est déjà disponible : la version 1.6.9 du plugin, publiée le 14 octobre, mentionne des améliorations de la 2FA. Aucune exploitation ni code d’exploitation public n’ont été signalés à ce stade, et la faille ne figure pas au catalogue KEV de la CISA — mais si vous utilisez ce plugin, vérifiez que vous êtes bien en version 1.6.9 ou plus récente, surtout si la double authentification protège un compte administrateur.
Lento dit : un plugin de sécurité qui laisse deviner le code 2FA à l’infini, c’est une porte blindée laissée entrouverte. Mettez à jour, et tant que vous y êtes, vérifiez que votre mot de passe admin ne traîne pas dans un vieux tableur.
De qui parle cet article
