WordPress : une faille de l'extension de formulaires Ninja Forms est exploitée pour créer des comptes administrateur cachés

Le 6 octobre, la société de sécurité Patchstack a indiqué que des attaquants exploitent depuis le 4 octobre des failles de deux extensions (« plugins », des modules ajoutés au site) de WordPress : Ninja Forms, un outil de formulaires de contact installé sur plus de 500 000 sites (versions jusqu’à 3.15.3, faille CVE-2026-94504), et WPC Product Bundles for WooCommerce, un outil de lots de produits pour boutiques en ligne installé sur plus de 30 000 sites (versions jusqu’à 8.6.6, faille CVE-2026-93836). L’attaquant n’a besoin d’aucun compte sur le site : il glisse un code malveillant dans un message de formulaire ou dans une commande, et ce code s’exécute dans le navigateur de l’administrateur lorsque celui-ci consulte l’entrée (faille dite « XSS stockée »). Le code profite alors de la session ouverte par l’administrateur pour installer une fausse extension nommée « WP Smart Thumbnails », créer un compte administrateur qui n’apparaît pas dans la liste des utilisateurs du tableau de bord et ouvrir d’autres accès dérobés, soit quatre moyens distincts de revenir sur le site. Patchstack précise que le volume d’attaques observé reste limité à ce stade ; les failles sont corrigées dans Ninja Forms 3.15.4 et WPC Product Bundles 8.6.7. Ce que cela change pour vous : si votre site vitrine ou votre boutique en ligne fonctionne sous WordPress, demandez dès aujourd’hui à votre prestataire web si l’une de ces extensions est installée et dans quelle version ; si une version vulnérable était en ligne après le 4 octobre, la mise à jour ne suffit pas : il doit aussi rechercher l’extension « WP Smart Thumbnails », les fichiers inconnus du dossier « mu-plugins » et les comptes administrateur directement dans la base de données, puis renouveler les mots de passe.