{"id":1581,"date":"2026-06-12T08:08:00","date_gmt":"2026-06-12T08:08:00","guid":{"rendered":"https:\/\/newblog.siteground.com\/fr\/?p=1581"},"modified":"2026-06-23T12:28:12","modified_gmt":"2026-06-23T12:28:12","slug":"vulnerabilite-critique-updraftplus-corrigee","status":"publish","type":"post","link":"https:\/\/fr.siteground.com\/blog\/vulnerabilite-critique-updraftplus-corrigee\/","title":{"rendered":"Faille critique d’UpdraftPlus corrig\u00e9e sur tous les sites WordPress h\u00e9berg\u00e9s chez SiteGround"},"content":{"rendered":"\n

Si votre site utilise le plugin de sauvegarde UpdraftPlus, voici l’essentiel : une faille critique a \u00e9t\u00e9 d\u00e9couverte dans le plugin, et nous l’avons d\u00e9j\u00e0 mis \u00e0 jour vers la version corrig\u00e9e sur tous les sites affect\u00e9s que nous h\u00e9bergeons. Vous \u00eates prot\u00e9g\u00e9 et vous n’avez rien \u00e0 faire.<\/p>\n\n\n\n

Voici ce qui s’est pass\u00e9, ce que nous avons fait et ce qu’il convient de surveiller.<\/p>\n\n\n\n

<\/span>Votre site est d\u00e9j\u00e0 prot\u00e9g\u00e9<\/strong><\/span><\/h2>\n\n\n\n

Le 11 juin 2026, notre \u00e9quipe d’ing\u00e9nieurs a forc\u00e9 la mise \u00e0 jour du plugin UpdraftPlus sur tous les sites h\u00e9berg\u00e9s utilisant une version vuln\u00e9rable. Chaque installation affect\u00e9e a \u00e9t\u00e9 mise \u00e0 jour vers la version 1.26.5, qui contient le correctif officiel. Plus de 128 000 sites sur notre plateforme utilisaient une version vuln\u00e9rable, et tous ont \u00e9t\u00e9 corrig\u00e9s.<\/p>\n\n\n\n

Nous avons test\u00e9 les chemins de mise \u00e0 jour avant tout d\u00e9ploiement et n’avons constat\u00e9 aucun probl\u00e8me. Nous ne pr\u00e9voyons aucune perturbation de site \u00e0 la suite de cette mise \u00e0 jour.<\/p>\n\n\n\n

<\/span>En quoi consiste la faille<\/strong><\/span><\/h2>\n\n\n\n

La faille, suivie sous CVE-2026-10795<\/a>, est un contournement d’authentification non authentifi\u00e9 affectant les versions d’UpdraftPlus jusqu’\u00e0 1.26.4. En termes simples, elle permettait aux attaquants d’obtenir un acc\u00e8s administrateur \u00e0 un site WordPress sans conna\u00eetre de nom d’utilisateur ou de mot de passe. \u00c0 partir de l\u00e0, ils pouvaient ex\u00e9cuter du code sur le site, ce qui est aussi grave qu’une vuln\u00e9rabilit\u00e9 de plugin puisse l’\u00eatre.<\/p>\n\n\n\n

L’aspect \u00ab non authentifi\u00e9 \u00bb est ce qui rend cette faille critique. De nombreuses vuln\u00e9rabilit\u00e9s exigent qu’un attaquant dispose d\u00e9j\u00e0 d’un certain niveau d’acc\u00e8s, comme un compte abonn\u00e9 ou contributeur. Celle-ci ne n\u00e9cessitait absolument rien. Tout site utilisant une version vuln\u00e9rable \u00e9tait expos\u00e9 \u00e0 quiconque connaissait la faille.<\/p>\n\n\n\n

<\/span>Ce que nous avons fait et quand <\/strong><\/span><\/h2>\n\n\n\n

D\u00e8s la divulgation de la vuln\u00e9rabilit\u00e9, notre \u00e9quipe a mis moins d’une heure pour d\u00e9ployer de mani\u00e8re proactive la version corrig\u00e9e du plugin sur tous les sites affect\u00e9s, agissant imm\u00e9diatement pour fermer la fen\u00eatre d’exposition avant que les attaquants ne puissent l’exploiter \u00e0 grande \u00e9chelle, plut\u00f4t que d’attendre que les propri\u00e9taires de sites effectuent la mise \u00e0 jour manuellement ou soient affect\u00e9s de quelque mani\u00e8re que ce soit.<\/p>\n\n\n\n

Voici \u00e0 quoi ressemblait la r\u00e9ponse :<\/p>\n\n\n\n