WordPress 7.1.4 : le billet dit de mettre à jour tout de suite, l'avis parle d'un risque faible

WordPress est un logiciel qui sert à faire tourner un site — un blog, une boutique, le site d'une association — depuis un tableau de bord. Le billet de la version 7.1.4, signé Aaron Jorbin, affiche October 28, 2026. L'horloge technique de cette date, dans la page, est 2026-10-28T17:13:02+00:00. La même horloge figure dans la balise article:published_time. Une autre balise, invisible dans le texte affiché, article:modified_time, indique 2026-10-29T10:58:35+00:00. Le texte visible n'écrit pas « 29 octobre ».

L'avis de sécurité GHSA-4w3m-c66w-69mg est publié par aaronjorbin le Oct 29, 2026. GHSA est l'identifiant de cette notice sur GitHub, le site où le code de WordPress est développé. L'avis a déjà la liste des numéros de version. Le billet, dont la balise de modification porte le 29 octobre à 10:58:35 UTC, écrit encore que les correctifs pour les anciennes versions sont en cours. Les deux documents portent la date du 29. L'heure de l'avis n'est pas donnée. Rien ne dit lequel a été mis en ligne en premier.

Le billet est l'annonce sur wordpress.org. L'avis est la notice à côté du code : un problème, une gravité, les versions concernées.

Le billet demande une mise à jour, sans dire si elle est grave

Le billet ouvre sur multiple issues, plusieurs problèmes, et il dit de mettre les sites à jour immediately, immédiatement. Le mot CVE n'est pas dans le HTML du billet, le code source de la page. Le mot Low non plus. Aucun score n'y figure. Une CVE est un numéro public qui sert à désigner une faille précise, pour que les avis en parlent sous le même nom. Low veut dire une gravité faible. Le billet ne retient ni l'un ni l'autre.

La phrase suivante dit que la 7.1.4 est une short-cycle release, une version courte entre deux grandes sorties, et que la prochaine version majeure, la 7.2, est currently planned for December 8th. Le 8 décembre, sans année. La page n'en donne pas.

Treize problèmes annoncés, un seul repris par l'avis

La liste des remerciements compte treize puces. La première décrit une course pendant la mise à jour du cœur, qui peut mener à une exécution de code during the upgrade window, pendant la fenêtre de mise à jour. Elle est signalée par Umut Bayram. C'est la seule que l'avis reprend.

Une course, ici, est un très court moment où deux opérations se disputent le même créneau. L'exécution de code veut dire qu'une personne fait tourner, sur le site, un programme de son choix. Le cœur, c'est WordPress lui-même, pas un module ajouté ensuite.

Les douze autres puces restent sur le billet.

Plusieurs décrivent un XSS stocké. Ces lettres viennent de l'anglais cross-site scripting : un texte piégé est enregistré sur le site, et il s'exécute dans le navigateur de la personne qui affiche la page. Le billet en signale un pour le balisage des blocs, et un pour le rafraîchissement sélectif du Customizer, l'écran qui prévisualise l'apparence du site. Les deux sont signalés par Rafie Muhammad (Awesome Motive, Inc.), avec une espace avant la parenthèse. Les deux commencent par A stored XSS.

Une puce commence par A Stored XSS, avec un S majuscule, pour le bloc Categories. Le mot reported y est collé, sans virgule. Une autre, A Stored XSS aussi, concerne les blocs Playlist et image, et celle-là a la virgule. Une puce commence par Stored XSS, sans le A du début, pour core/comments-pagination-next et core/comments-pagination-previous, les blocs qui font défiler les commentaires. Une puce dit a stored XSS reported by Anthropic, sans virgule non plus, à propos des identifiants. Une autre dit que les demandes de suppression de données personnelles can be created in a way that leads to stored XSS : elles peuvent être créées d'une façon qui mène à un XSS stocké. C'est encore Anthropic, et cette puce-là a sa virgule.

Le reste ne tient pas dans le mot « plusieurs ». Un déni de service stocké dans l'API Interactivity est signalé par Jon Surrell. Un déni de service empêche le site de répondre. Stocké, il reste enregistré, au lieu de dépendre d'une seule visite. L'API Interactivity est la partie qui fait réagir la page sans la recharger en entier. Plusieurs XSS stockés dans cette même API sont signalés par AnC, DatNLQ, rekter0, Anas cherni, Marcel Karlsson (whoismarcel), Weston Ruter, Jon Surrell, Alex Concha et Luis Herranz. Des brouillons du Customizer, non publiés, sont lisibles sans compte, selon Antonio Lorensius Silaban. Des notes sont lisibles par un compte qui a des droits, mais pas celui d'éditer le billet, selon Ramon. Une dernière puce annonce une mise à jour des certificats racine empaquetés, à cause de la révocation eMudhra, sans nom de rapporteur. Un certificat racine est un fichier qui dit à quels organismes le logiciel fait confiance pour sécuriser les connexions. Une révocation retire cette confiance. Treize puces. L'avis n'en commente qu'une.

L'avis parle d'un risque faible, et il imprime déjà les numéros

L'avis note Low. La case CVE ID dit No known CVE : aucun numéro public connu. La case Weaknesses dit No CWEs. Une CWE est une entrée du catalogue qui classe les types de failles. Aucune n'est renseignée.

Pendant une mise à jour du cœur qui utilise un paquet complet — l'archive entière du logiciel, pas un petit fichier isolé —, WordPress extrayait les fichiers vers un répertoire prévisible, dans le dossier d'upgrade servi sur le web. Ce dossier est accessible aux visiteurs, et son nom peut être deviné. Un attaquant non authentifié, donc sans compte, qui gagne la course contre cette extraction peut aller jusqu'à l'exécution de code. La formule est Discovered and responsibly disclosed by Umut Bayram. Le billet disait reported by, signalé par. L'avis dit disclosed by, divulgué par. Les deux pages n'emploient pas le même verbe.

La suite de l'avis : WordPress 7.1.4 has been released containing a fix, la 7.1.4 est sortie avec un correctif, et the fix has been backported to all branches back to 4.7, le correctif a été reporté sur toutes les branches jusqu'à la 4.7. Une branche est une lignée de versions, par exemple 6.9 ou 4.7. Reporter le correctif, le rétroporter, c'est le recopier dans ces lignées plus anciennes.

Le billet a presque la même formule, puis il s'en écarte. Les correctifs ont été reportés vers les branches encore éligibles, currently through 4.7. Seule la version la plus récente est activement supportée. Et The backports are in progress and will ship as they become ready : ils sont en cours, ils partiront quand ils seront prêts. Cette phrase est dans le HTML dont la balise de modification indique le 29 octobre 2026 à 10:58:35 UTC. L'avis, daté du 29 sans heure, imprime déjà les numéros.

Vingt-cinq plages de versions touchées. La première : 7.1.0 - 7.1.3. La dernière : 4.7.0 - 4.7.38. Vingt-cinq versions corrigées. La première : 7.1.4. La dernière : 4.7.39. Le billet ne nomme ni 7.0.8, ni 6.9.11, ni 4.7.39. Il dit que ces correctifs viendront. L'avis les imprime sous Patched versions, versions corrigées. Les dépôts où sont rangées ces versions n'ont pas été ouverts. Rien, dans les deux pages, ne dit si ces paquets sont réellement en ligne. L'un écrit « en cours ». L'autre imprime les numéros.

Une ligne du billet que l'avis ne reprend pas : WordPress 7.2 Beta 3 est aussi sortie, containing all applicable fixes, avec tous les correctifs qui s'y appliquent. Le billet ne dit pas lesquelles des treize puces entrent dans une bêta. Une bêta est une version d'essai, pas la sortie définitive. La 7.2 du December 8th et la Beta 3 déjà publiée sont deux annonces distinctes. Seule la seconde porte un numéro de bêta.

Les noms ne s'écrivent pas de la même façon

Dans les contributeurs, le billet nomme umut3806. Dans la puce de la course, il nomme Umut Bayram. luisherranz figure d'un côté, Luis Herranz dans la puce Interactivity. ramonopoly figure dans la liste, Ramon dans la puce des notes. La page ne dit pas que ces paires sont les mêmes personnes. Les responsables de la sortie, eux, sont nommés deux fois sans changer de graphie : Aaron Jorbin et Nik Tsekouras.

Le billet du 28 octobre 2026 demande de mettre le site à jour immédiatement. Sa balise de modification indique le 29 octobre à 10:58:35 UTC, et le texte laisse encore les anciennes lignées in progress. L'avis du 29 classe la course comme Low, No known CVE, et il imprime déjà 7.1.4 jusqu'à 4.7.39. Deux puces du billet collent reported sans virgule. Le December 8th de la 7.2 n'a pas d'année.