Exécution de code à distance affectant WordPress
Une vulnérabilité affectant WordPress permettrait à un attaquant authentifié d'exécuter du code à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
WordPress est un système de gestion de contenu (CMS) largement utilisé pour la création de sites web et de blogs. Ce produit est affecté par une vulnérabilité libellée CVE-2026-65640, résultant d'une gestion inadaptée des fichiers PostScript téléversés. Son exploitation permettrait à un acteur malveillant authentifié disposant au minimum du rôle d'auteur de téléverser un fichier PostScript malveillant, ce qui pourrait conduire à une exécution de code arbitraire sur le serveur sous-jacent. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Cette vulnérabilité ne concerne que les installations utilisant Imagick et Ghostscript, et où un utilisateur malveillant dispose de la capacité upload_files ;
- Toutes les versions de WordPress antérieures à 7.0.4 ;
- Versions de WordPress non corrigées des branches 4.7 et ultérieures.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Vérifier au préalable si les conditions d'exploitation (utilisation d'Imagick et de Ghostscript, et présence d'un utilisateur disposant de la capacité upload_files) sont réunies sur les systèmes concernés ;
- Mettre à jour WordPress vers la version 7.0.4 ou supérieure, ou vers la version corrigée disponible pour les branches antérieures (à partir de la 4.7).
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.