La faille Ninja Forms (CVE-2026-94504) est exploitée pour créer sur les sites WordPress un administrateur invisible dans le tableau de bord. Si votre site utilise Ninja Forms 3.15.3 ou antérieur, mettez-le à jour vers la 3.15.4, puis vérifiez la liste réelle de vos administrateurs : la mise à jour seule ne retire pas un intrus déjà installé.
Octobre 2026 : une campagne XSS qui cache son propre compte admin
Les chercheurs de Patchstack ont repéré le 4 octobre une campagne visant d’abord WPC Product Bundles for WooCommerce (CVE-2026-93836, versions 8.6.6 et antérieures), puis, dès le lendemain, Ninja Forms. Le même script malveillant, chargé depuis le domaine imgcdn1[.]com, est utilisé dans les deux cas, ce qui désigne un acteur unique.
Ninja Forms équipe plus de 500 000 sites, dont beaucoup de sites vitrines de PME qui l’utilisent pour leurs formulaires de contact ou de devis. C’est précisément ce point d’entrée qui est visé.
Comment l’attaque transforme un formulaire en prise de contrôle
Il s’agit d’une faille de type XSS stockée : l’attaquant glisse un script JavaScript dans une soumission de formulaire Ninja Forms ou dans les données d’une commande WooCommerce. Rien ne se passe tant qu’un administrateur n’ouvre pas ce contenu. Au moment où il consulte la soumission, le script s’exécute avec sa session WordPress, récupère les jetons de sécurité nécessaires et utilise les fonctions légitimes du CMS pour agir à sa place.
Le script installe alors une fausse extension, « WP Smart Thumbnails » version 1.2.4, présentée comme éditée par « MediaPress Labs », et met en place quatre accès distincts :
- un compte administrateur visible ;
- un second administrateur absent de la liste des utilisateurs, du filtre « Administrateur » et même des compteurs ;
- une URL de connexion secrète qui ouvre une session au nom du plus ancien administrateur du site ;
- un gestionnaire de fichiers accessible sans authentification, utilisable pour déposer d’autres charges.
Le point le plus gênant pour une PME : supprimer l’extension ne suffit pas. Selon l’analyse de Patchstack, le compte caché et l’URL secrète survivent grâce à des extensions auxiliaires dont les dates de fichiers sont antidatées pour passer inaperçues.
Pourquoi les sites de PME sont particulièrement exposés
La faille exige une session authentifiée pour être exploitée, ce qui pourrait sembler rassurant. En pratique, l’attaque retourne cette contrainte : c’est votre propre administrateur, en relisant les demandes reçues par le formulaire, qui déclenche le code. Sur un site de PME, la personne qui consulte les soumissions est souvent aussi celle qui détient les droits les plus élevés.
Patchstack indique que l’exploitation reste pour l’instant limitée. C’est justement la fenêtre utile : le correctif existe, et le contrôle des comptes prend moins d’une heure. Un site compromis, lui, peut servir à héberger du phishing à votre nom, à voler les données saisies par vos clients ou à dégrader votre réputation auprès des moteurs de recherche.
Que faire maintenant
- Mettez à jour Ninja Forms vers la version 3.15.4 ou supérieure et, si vous l’utilisez, WPC Product Bundles for WooCommerce vers la 8.6.7 ou supérieure, sur la production comme sur les préproductions oubliées.
- Listez les administrateurs directement en base ou en ligne de commande (
wp user list --role=administrator) plutôt que dans le tableau de bord, et supprimez tout compte que vous ne savez pas attribuer. - Recherchez l’extension « WP Smart Thumbnails », les extensions que vous n’avez pas installées dans
wp-content/pluginsetwp-content/mu-plugins, ainsi que la chaîneimgcdn1dans les soumissions de formulaires et les commandes. - Renouvelez les mots de passe administrateurs et les clés de salage de
wp-config.phpdès qu’une trace apparaît, afin d’invalider toutes les sessions ouvertes. - Restaurez le site depuis une sauvegarde antérieure au 4 octobre si vous trouvez un compte caché, puis réappliquez les mises à jour avant de le remettre en ligne.
Pour la procédure de nettoyage complète, notre plan d’urgence en cas de backdoor WordPress détaille l’ordre des opérations, et notre guide pour détecter et bloquer les backdoors WordPress aide à éviter la récidive.
Un administrateur qui apparaît en base sans apparaître à l’écran se repère dans les journaux bien avant d’être exploité : c’est le rôle de notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- La faille Ninja Forms CVE-2026-94504 est exploitée activement depuis le 5 octobre.
- Le correctif est la version 3.15.4 ; WPC Product Bundles est corrigé en 8.6.7.
- L’attaque crée un administrateur invisible dans l’interface WordPress.
- Mettre à jour ou supprimer l’extension malveillante ne nettoie pas un site déjà compromis.
- La vérification fiable se fait en base ou via WP-CLI, pas dans le tableau de bord.