Thème · 6 nouvelles
Sécurité
Cette page réunit les failles et les mises à jour que Preload a jugées assez importantes pour vous demander d'agir : CMS, extensions, frameworks, serveurs. Je la tiens pour celles et ceux qui maintiennent des sites en production, avec pour chaque alerte la version à atteindre et le geste qui ferme la porte.
WordPress 7.2 réécrit wp_kses() sur l'API HTML
Le filtre qui nettoie le HTML enregistré par les utilisateurs sans le droit unfiltered_html est réécrit sur l'API HTML, pour la 7.2 ou la 7.3. L'interface ne change pas, la sortie si : balises en minuscules, attributs entre guillemets doubles, contenu d'un script interdit retiré avec lui, texte comme <$500 échappé au lieu d'être supprimé. Le filtre wp_kses_force_legacy_parser rétablit l'ancien comportement. WordPress 7.2 sort le 8 décembre, bêta 1 le 20 octobre.
Le geste
Dès la bêta 1, faites tourner les tests de vos thèmes et extensions qui comparent du HTML filtré, et repérez les contenus de contributeurs qui changeraient à l'enregistrement.
Next.js : correctif de sécurité le 14 octobre
Vercel publie le mercredi 14 octobre une mise à jour hors calendrier qui corrige trois failles de dépendances : deux critiques, une élevée. Les versions touchées seront données avec les avis. Next.js 16.4, sorti le 6 octobre, fait par ailleurs de Cache Components le modèle recommandé, qui deviendra le défaut dans Next.js 17.
Le geste
Réservez un créneau de mise à jour le 14 octobre pour vos applications Next.js, puis testez Cache Components sur une branche avant la 17.
REA, un serveur MCP de rétro-ingénierie qui lit aussi les sites
REA, outil libre sous licence MIT, donne à un agent IA des outils d'analyse de binaires, d'applications et de sites web. Sur un site, il s'attache en lecture seule à un navigateur Chromium déjà ouvert et relève DOM, réseau, bundles JavaScript, routes et source maps. Le projet a trois mois et avance vite (version 6.4.0 le 11 octobre).
Le geste
Pour l'essayer, lancez Chromium avec un profil dédié, car le port de débogage expose toute la session et ses cookies ; limitez-vous à vos sites ou à ceux d'un client qui l'accepte, et gardez en tête que les données analysées partent chez le fournisseur du modèle.
WordPress 7.1.3 corrige sept failles
La version du 6 octobre corrige sept failles, dont une XSS stockée sur l'écran des commentaires, une injection SQL dans l'export WXR et la lecture sans authentification de commentaires d'articles privés. Plusieurs supposent un compte de contributeur ou plus. Des correctifs sont annoncés pour les anciennes branches, jusqu'à la 4.7.
Le geste
Passez en 7.1.3 et videz le cache de pages, sans oublier les intégrations Imgur déjà en cache ; sur une ancienne branche, vérifiez que votre version a bien reçu le correctif, et revoyez qui détient un rôle de contributeur ou plus.
Bricksforge exploité, et une campagne qui cache son propre administrateur
L'extension Bricksforge, jusqu'à la 3.1.8.9, permet de téléverser un fichier sans authentification puis d'exécuter du code ; elle est attaquée depuis le 7 octobre, la 3.1.8.10 corrige. Une autre campagne exploite des XSS stockées de Ninja Forms (avant 3.15.4) et de WPC Product Bundles (avant 8.6.7) : une seule exécution dans la session d'un administrateur laisse un compte caché par un mu-plugin, une URL de connexion secrète et un faux plugin de gestion de fichiers. Le détail de la campagne donne les indices à chercher.
Le geste
Mettez ces extensions à jour, puis comparez les administrateurs en base avec ceux qu'affiche l'administration, inspectez wp-content/mu-plugins et régénérez les clés de salage.
Plesk : dix correctifs critiques en huit semaines
Du 5 août au 29 septembre, le cœur de Plesk a reçu des mises à jour marquées « critical security issue » à dix dates. De février à juillet, il n'y en avait eu que trois. Parmi les failles : exécution de code en root par l'API REST (CVE-2026-68492, corrigée en 18.0.80.8 et 18.0.81.1) et par un nom de base importé dans Site Import (CVE-2026-87898, corrigée en 1.12.2). Au 1er janvier 2027, les licences augmentent : 15,99 € HT par mois pour Web Admin, 28,99 € pour Web Pro, 62,99 € pour Web Host.
Le geste
Vérifiez avec plesk version que le serveur est au moins en 18.0.80.9 ou 18.0.81.2, mettez Site Import et Plesk Migrator à jour ou désinstallez-les s'ils ne servent pas, et activez la mise à jour automatique des builds. Sur un parc, n'attendez plus la fenêtre de maintenance mensuelle pour un correctif marqué critique.
L'IA accélère la découverte des failles autant que leur exploitation, et le cycle de mise à jour doit raccourcir en conséquence. Nous lisons la hausse de prix comme le coût de cette cadence ; Plesk, lui, ne fait pas ce lien.