Deux failles critiques de l’extension WordPress The Events Calendar permettent à un attaquant non authentifié de prendre le contrôle complet d’un site. Si votre site affiche un agenda d’événements avec cette extension, mettez-la à jour en version 6.17.4.1 ou ultérieure aujourd’hui : c’est la seule correction qui ferme les deux chemins d’attaque.
Cette faille The Events Calendar concerne une extension installée sur plus de 600 000 sites. Pour une PME ou une ETI, le site vitrine est souvent géré par une agence ou un prestataire, mis à jour « quand on y pense », et hébergé sur le même compte que d’autres services. C’est précisément le profil de cible que les attaquants automatisent.
Deux chaînes d’exécution de code distinctes
Les deux vulnérabilités ont été identifiées par les chercheurs de Wordfence (Defiant). Elles sont indépendantes l’une de l’autre, mais aboutissent au même résultat : l’exécution de code à distance (RCE) sur le serveur, donc la compromission totale de l’installation WordPress.
CVE-2026-78159 : injection de code non authentifiée
La première faille, notée CVSS 9,8, provient d’une validation insuffisante des données. Dans certaines conditions, un attaquant peut injecter une charge utile sous forme de tableau qui contourne les contrôles et s’exécute lors du rendu de la page d’un événement, y compris dans la zone de commentaires. L’éditeur StellarWP l’a corrigée le 25 août dans la version 6.17.3.1.
CVE-2026-78006 : injection d’objet PHP via les commentaires
La seconde, également notée CVSS 9,8, est une injection d’objet PHP exploitable lorsque les commentaires sur les événements sont activés et visibles. Le point clé : le contenu malveillant atteint la fonction vulnérable avant la modération. Un commentaire en attente d’approbation suffit donc ; aucun compte n’est nécessaire. Cette faille n’est corrigée que depuis la version 6.17.4.1, publiée le 10 septembre.
Pourquoi beaucoup de sites restent exposés
D’après les chiffres de WordPress.org repris par SecurityWeek, environ 240 000 sites utilisent encore une version antérieure à 6.17 et sont donc concernés par les deux failles. Entre le 10 et le 14 septembre, l’extension a été téléchargée un peu plus de 300 000 fois : environ la moitié des installations pourrait encore être vulnérable à la seconde faille.
Trois situations typiques expliquent ce retard en PME :
- les mises à jour automatiques des extensions sont désactivées « pour ne rien casser » ;
- le site a été livré par une agence et plus personne ne se connecte à l’administration ;
- la version installée a été mise à jour en août (6.17.3.1), ce qui donne une fausse impression d’être à jour alors que la seconde faille reste ouverte.
Ce troisième cas est le plus piégeux. Une mise à jour récente ne garantit pas une protection complète : seule la version 6.17.4.1 ou supérieure couvre les deux vulnérabilités.
Ce que risque concrètement une PME
Une exécution de code sur le serveur web ne se limite pas à un site défiguré. L’attaquant obtient les droits du serveur PHP : il peut lire le fichier wp-config.php et ses identifiants de base de données, déposer une porte dérobée persistante, injecter des redirections malveillantes pour vos visiteurs ou utiliser le site pour envoyer du phishing depuis votre domaine. Sur un hébergement mutualisé ou un compte partagé avec d’autres sites, la compromission peut s’étendre au-delà du seul agenda d’événements.
L’exploitation suppose que les commentaires soient activés dans l’extension. C’est une condition réelle, mais elle ne doit pas servir de prétexte pour reporter la mise à jour : un réglage peut être réactivé par un éditeur ou par un thème sans que personne ne le remarque.
Que faire maintenant
- Vérifiez dans Extensions › Extensions installées si The Events Calendar est présent, et relevez son numéro de version exact sur chacun de vos sites WordPress.
- Appliquez la mise à jour vers la version 6.17.4.1 ou ultérieure, puis activez la mise à jour automatique de cette extension.
- Désactivez les commentaires sur les événements tant que la mise à jour n’est pas faite, ou désactivez temporairement l’extension si l’agenda n’est pas indispensable.
- Contrôlez les indices de compromission si le site est resté vulnérable : comptes administrateurs inconnus, fichiers PHP récents dans wp-content/uploads, commentaires en attente au contenu anormal.
- Exigez de votre agence ou hébergeur un engagement écrit sur le délai d’application des correctifs critiques de vos extensions.
Une porte dérobée déposée sur un site web passe rarement inaperçue quand les journaux sont surveillés en continu : découvrez notre SOC managé 24/7 pour PME et ETI.
Pour aller plus loin, relisez notre article sur la détection des portes dérobées WordPress et notre analyse d’une précédente RCE WordPress non authentifiée.
Ce qu’il faut retenir
- Deux failles critiques de The Events Calendar permettent une prise de contrôle sans authentification.
- La version 6.17.3.1 ne corrige qu’une faille : visez 6.17.4.1 ou plus récent.
- La seconde faille s’exploite via un commentaire, avant toute modération.
- Désactiver les commentaires d’événements réduit le risque en attendant la mise à jour.
- Un site vulnérable plusieurs jours doit être contrôlé, pas seulement mis à jour.