Sommaire
Alerte pour les sites qui utilisent Ultimate Member, l’extension WordPress de profils et de communautés : une faille critique, référencée CVE-2026-115968 et notée 9,8/10, permet une injection d’objet PHP sans même être connecté au site. Elle touche toutes les versions jusqu’à la 2.13.1. Avec plus de 200 000 installations actives, c’est une cible de choix pour les attaques automatisées.
Le correctif existe déjà : mettez à jour vers la version 2.14.0 ou plus, sans attendre. La faille a été rendue publique cette semaine (fiche Patchstack du 26 octobre, CVE publiée le 28 octobre) et aucune exploitation en conditions réelles n’a été signalée pour l’instant — mais ce type de faille finit presque toujours en campagne de masse. Si vous ne pouvez pas mettre à jour tout de suite, demandez à votre hébergeur s’il bloque déjà ce type d’attaque.
Lento dit : 9,8 sur 10, sans même avoir besoin d’un compte : c’est le genre de faille qui se fait exploiter en pilote automatique. La mise à jour prend deux minutes, le nettoyage d’un site piraté prend des jours. Faites-la maintenant, pas « quand vous aurez le temps ».
