WordPress 6.9.2, 6.9.3 et 6.9.4 : mises à jour de sécurité et correctifs

Mis à jour le 11 mars 2026 pour inté­grer la publi­ca­tion de Word­Press 6.9.4.

Publiée le 10 mars 2026, Word­Press 6.9.2 est une ver­sion de main­te­nance entiè­re­ment dédiée à la sécu­ri­té. Elle cor­rige dix vul­né­ra­bi­li­tés, dont cer­taines poten­tiel­le­ment sérieuses. Dans la fou­lée, deux ver­sions cor­rec­tives ont été publiées : 6.9.3 pour résoudre un pro­blème d’af­fi­chage, puis 6.9.4 car trois des cor­rec­tifs de sécu­ri­té de la 6.9.2 n’a­vaient pas été com­plè­te­ment appliqués.

Trois ver­sions en deux jours, c’est excep­tion­nel et plu­tôt rare dans l’his­toire de Word­Press, tout au moins dans la mienne. Cela témoigne à la fois de la com­plexi­té d’un cor­rec­tif de sécu­ri­té appli­qué à grande échelle, et de la réac­ti­vi­té de l’é­quipe de déve­lop­pe­ment, qui n’a pas atten­du pour cor­ri­ger le tir. Un grand mer­ci à eux pour le tra­vail abattu.

Pour les lec­teurs qui sou­haitent consul­ter les détails tech­niques com­plets, l’annonce offi­cielle de Word­Press 6.9.2 est dis­po­nible sur le site de Word­Press (en anglais) :
https://wordpress.org/news/2026/03/wordpress‑6 – 9‑2-relea­se/

Si vous gérez un ou plu­sieurs sites Word­Press, voi­ci ce qu’il faut rete­nir de ces trois mises à jour.

Une mise à jour automatique dans la plupart des cas

Word­Press active par défaut les mises à jour auto­ma­tiques en arrière-plan pour les ver­sions mineures liées à la sécurité.

Concrè­te­ment, sauf si les mises à jour auto­ma­tiques ont été expli­ci­te­ment désac­ti­vées sur votre site (via une constante dans wp-config.php ou une exten­sion dédiée), votre site est très pro­ba­ble­ment déjà pas­sé en ver­sion 6.9.4 sans inter­ven­tion de votre part.

La pre­mière chose à faire consiste sim­ple­ment à véri­fier que tout s’est bien dérou­lé. Dans votre admi­nis­tra­tion Word­Press, ren­dez-vous dans Tableau de bord → Mises à jour et assu­rez-vous que votre site uti­lise bien la der­nière ver­sion disponible.

Si vous gérez plu­sieurs sites Word­Press, un outil de ges­tion cen­tra­li­sée comme MainWP ou WP Umbrel­la per­met de véri­fier rapi­de­ment l’état de toutes vos installations.

Les dix failles de sécurité corrigées dans WordPress 6.9.2

La ver­sion 6.9.2 cor­rige plu­sieurs types de vul­né­ra­bi­li­tés. Voi­ci les prin­ci­pales, expli­quées simplement.

Blind SSRF (Server-Side Request Forgery)

Une faille de type SSRF per­met à un atta­quant de pous­ser le ser­veur à effec­tuer des requêtes vers d’autres res­sources internes (réseau local, méta­don­nées d’un envi­ron­ne­ment cloud, etc.).
Même si le résul­tat de ces requêtes n’est pas direc­te­ment visible pour l’attaquant, cela peut par­fois ser­vir de point d’appui pour d’autres attaques.

Faiblesse dans l’HTML API et le Block Registry

Une fai­blesse a été iden­ti­fiée dans deux com­po­sants internes de Word­Press liés au sys­tème de blocs.
Dans cer­taines situa­tions, elle pou­vait être uti­li­sée pour per­mettre l’exé­cu­tion de code non auto­ri­sé dans cer­tains contextes. Cette faille a été cor­ri­gée dans cette version.

ReDoS (Regex Denial of Service)

Une expres­sion régu­lière mal for­mu­lée pou­vait être exploi­tée pour pro­vo­quer une consom­ma­tion exces­sive de res­sources ser­veur.
Concrè­te­ment, une requête spé­cia­le­ment conçue pou­vait ralen­tir for­te­ment le site, voire le rendre tem­po­rai­re­ment inaccessible.

XSS stocké dans les menus de navigation

Une faille de type XSS (Cross-Site Scrip­ting) per­met d’injecter du code JavaS­cript mal­veillant dans une page. Dans ce cas pré­cis, la vul­né­ra­bi­li­té concer­nait les menus de navi­ga­tion et pou­vait per­mettre l’exécution de code dans le navi­ga­teur d’un admi­nis­tra­teur ou d’un visiteur.

Contournement d’autorisation dans query-attachments (AJAX)

Une véri­fi­ca­tion des per­mis­sions était insuf­fi­sante dans une fonc­tion­na­li­té uti­li­sée pour inter­ro­ger les fichiers médias via AJAX. Dans cer­taines situa­tions, cela pou­vait per­mettre d’accéder à des médias nor­ma­le­ment restreints.

XSS stocké via la directive data-wp-bind

Une autre faille XSS a été iden­ti­fiée dans l’API d’interactivité de Word­Press, le sys­tème qui gère cer­tains com­por­te­ments dyna­miques côté navi­ga­teur. Cette vul­né­ra­bi­li­té a éga­le­ment été corrigée.

XSS dans certains templates de l’interface d’administration

Une faille per­met­tait de modi­fier cer­tains tem­plates JavaS­cript uti­li­sés dans l’interface d’administration. Cela pou­vait conduire à des mani­pu­la­tions de l’interface ou à l’exécution de code non souhaité.

Path traversal dans la bibliothèque PclZip

Word­Press uti­lise la biblio­thèque Pcl­Zip pour mani­pu­ler les archives ZIP.
Une faille dite de path tra­ver­sal pou­vait per­mettre, dans cer­taines condi­tions, d’écrire des fichiers en dehors du réper­toire pré­vu lors de l’extraction d’une archive.

Contournement d’autorisation dans la fonctionnalité Notes

La fonc­tion­na­li­té Notes intro­duite récem­ment dans Word­Press com­por­tait une véri­fi­ca­tion d’autorisation incom­plète. Dans cer­tains cas, cela pou­vait per­mettre d’accéder ou de modi­fier des notes sans dis­po­ser des droits nécessaires.

Vulnérabilité XXE dans la bibliothèque getID3

Word­Press uti­lise la biblio­thèque getID3 pour ana­ly­ser les méta­don­nées des fichiers audio et vidéo.
Une faille XXE (XML Exter­nal Enti­ty) pou­vait per­mettre à un fichier mal­veillant de déclen­cher des requêtes externes ou de ten­ter d’accéder à cer­taines infor­ma­tions serveur.

La biblio­thèque a été mise à jour en coor­di­na­tion avec son mainteneur.

Les versions correctives : 6.9.3 et 6.9.4

WordPress 6.9.3 : un problème d’affichage

Peu après la dif­fu­sion de la ver­sion 6.9.2, cer­tains uti­li­sa­teurs ont signa­lé un pro­blème d’af­fi­chage sur leurs sites. Dans cer­tains cas par­ti­cu­liers liés à la manière dont cer­tains thèmes chargent leurs fichiers de tem­plate, le site pou­vait affi­cher une page blanche côté front-end après la mise à jour.

La ver­sion 6.9.3 cor­rige ce com­por­te­ment. Vous pou­vez consul­ter la note offi­cielle ici :
https://wordpress.org/documentation/wordpress-version/version‑6 – 9‑3/

WordPress 6.9.4 : des correctifs de sécurité incomplets

Le 11 mars 2026, l’é­quipe de sécu­ri­té Word­Press a décou­vert que trois des cor­rec­tifs inclus dans la ver­sion 6.9.2 n’a­vaient pas été com­plè­te­ment appli­qués. Une qua­trième ver­sion, Word­Press 6.9.4, a donc été publiée dans la fou­lée pour fina­li­ser ces cor­rec­tifs.
Les trois failles concer­nées sont :

• le path tra­ver­sal dans PclZip
• le contour­ne­ment d’au­to­ri­sa­tion dans la fonc­tion­na­li­té Notes
• la vul­né­ra­bi­li­té XXE dans la biblio­thèque getID3

Si votre site n’est pas encore en ver­sion 6.9.4, c’est la ver­sion à ins­tal­ler en prio­ri­té. L’an­nonce offi­cielle est ici : https://wordpress.org/news/2026/03/wordpress‑6 – 9‑4-relea­se/

Ce que cela signifie pour votre site

La diver­si­té des vul­né­ra­bi­li­tés cor­ri­gées montre à quel point Word­Press s’appuie aujourd’hui sur de nom­breux com­po­sants : ges­tion des médias, API JavaS­cript, biblio­thèques externes, sys­tème de blocs, etc. La bonne nou­velle est que ces cor­rec­tifs ont été déployés rapi­de­ment et auto­ma­ti­que­ment sur la majo­ri­té des sites.

Comment faire si la mise à jour n’a pas été automatique ?

• Depuis l’admin Word­Press : allez dans le menu « Tableau de bord > Mises à jour » et sui­vez les instructions.
• Via WP-CLI : si vous avez un accès SSH, vous pou­vez lan­cer wp core update

Si vous avez un doute sur la manière de pro­cé­der ou si vous vou­lez évi­ter les mau­vaises sur­prises, consul­tez notre guide com­plet : Com­ment faire les mises à jour dans Word­Press (et ne rien casser)

Et la suite ? WordPress 7.0 arrive bientôt

La pro­chaine ver­sion majeure, Word­Press 7.0, est pré­vue pour le 9 avril 2026.
Au pro­gramme notam­ment : col­la­bo­ra­tion en temps réel, inté­gra­tion pro­gres­sive de l’IA, nou­veaux blocs et plu­sieurs évo­lu­tions de l’administration. Comme à chaque sor­tie majeure, nous publie­rons un article dédié pour vous pré­sen­ter les nou­veau­tés en détail.