Une faille critique (note CVSS 8.8, CVE-2026-19949) touche le plugin All-in-One WP Migration and Backup, installé sur plus de 5 millions de sites WordPress selon la fiche officielle du plugin. Elle permet à un attaquant sans compte de prendre le contrôle complet du site. Le correctif existe depuis le 20 août (version 7.110) : si vous utilisez ce plugin, la vérification prend deux minutes.
Quelle faille, quel risque exactement ?
All-in-One WP Migration and Backup sert à sauvegarder un site WordPress et à le transférer d’un serveur à l’autre. C’est l’un des plugins les plus installés de l’écosystème : plus de 5 millions d’installations actives (wordpress.org). Le chercheur Jack Taylor a signalé la faille à Wordfence le 14 août 2026, et l’éditeur ServMask a publié la version corrigée le 20 août (bulletin Wordfence).
Le mécanisme est tordu mais mérite qu’on s’y attarde, parce qu’il explique pourquoi tant de sites restent exposés. L’attaque s’appelle une injection SQL de second ordre : l’attaquant plante d’abord des données malicieuses dans la base, via des trackbacks (ces notifications automatiques que WordPress accepte sans authentification quand un article accepte les pings). Rien ne se passe alors. Le poison ne s’active que plus tard, quand l’administrateur fait une chose parfaitement normale : exporter puis réimporter une archive du site, l’opération même pour laquelle ce plugin existe. À ce moment, le code malveillant permet de voler la clé secrète du plugin, puis d’exécuter du code sur le serveur. Résultat selon Wordfence : prise de contrôle totale du site, sans jamais avoir eu besoin d’un compte.
Deux précisions pour mesurer son propre risque. La faille ne s’arme pas toute seule : il faut que l’administrateur restaure une archive pour que l’attaque aboutisse. Et tous les sites ne sont pas exposés de la même façon : ceux dont les articles acceptent les trackbacks sont les plus faciles à cibler. Mais avec 5 millions d’installations et un exploit publiables, la prudence s’impose.
Vérifier si votre site est concerné
Connectez-vous à votre administration WordPress, ouvrez le menu Extensions et cherchez « All-in-One WP Migration » dans la liste. Si le plugin apparaît, regardez la colonne de version. Version 7.110 ou supérieure : vous êtes corrigé, rien à faire. Version 7.109 ou antérieure : mettez à jour immédiatement, l’alerte de mise à jour apparaît d’ailleurs normalement dans votre tableau de bord.
Si vous ne gérez pas le site vous-même, c’est le moment de demander à votre prestataire ou à votre webmaster une confirmation écrite de la version. Beaucoup de TPE ont un site livré clé en main avec ce plugin préinstallé par l’agence, pour les sauvegardes ou les migrations : le risque vous concerne même si vous n’avez jamais entendu parler de cet outil.
Pourquoi la course contre la montre se joue en heures
Le cas de ce plugin illustre une mécanique documentée à grande échelle. Le rapport Patchstack 2026 recense 11 334 nouvelles failles dans l’écosystème WordPress en 2025, une hausse de 42 % en un an, et 91 % d’entre elles se trouvent dans les plugins, pas dans le cœur de WordPress. Autre chiffre du même rapport qui donne le vertige : 46 % des failles n’étaient pas corrigées au moment de leur divulgation publique.
Et quand une faille devient publique, l’exploitation démarre très vite. Toujours d’après l’étude de Patchstack, 20 % des failles exploitées en conditions réelles le sont dans les 6 heures qui suivent la divulgation, et 45 % en moins de 24 heures. Ici, la divulgation détaillée de Wordfence date du 1er septembre : deux semaines après le correctif, précisément la période où les attaquants scannent massivement les sites qui n’ont pas encore mis à jour. Le décalage entre « le patch existe » et « tous les sites l’ont appliqué » est là où se produisent les piratages.
Le paradoxe du plugin de sauvegarde
Il y a une ironie amère : le composant qui devait protéger vos données devient la porte d’entrée. C’est le point que je vois mal évalué chez les petites structures : on installe un plugin de sauvegarde, on se dit que la case sécurité est cochée, et on ne le regarde plus jamais. Or un plugin de migration a des droits énormes : il lit toute la base, écrit tout le système de fichiers, exécute des opérations que WordPress refuse normalement. C’est exactement ce qui rend la faille critique ici.
Le comportement sain consiste à réduire la surface. Désactivez les trackbacks sur vos articles si vous ne les utilisez pas (Réglages, puis Discussion, décocher « Autoriser les notifications »). Et faites un test simple : pour chaque extension installée, savez-vous quand elle a servi pour la dernière fois ? Un plugin de migration n’a aucun besoin de rester actif sur un site qui ne déménage pas. La sauvegarde quotidienne d’un site en production se règle plutôt côté hébergeur ou avec un outil dédié qui reste supervisé.
Votre plan d’action en 4 points
Premier point, la mise à jour : vérifiez la version du plugin aujourd’hui et passez en 7.110 ou plus. Deuxième point, le nettoyage : si vous n’utilisez plus ce plugin, désactivez-le et supprimez-le plutôt que de le laisser dormire. Troisième point, les accès : vérifiez dans la liste des utilisateurs qu’aucun compte administrateur inconnu n’est apparu, et changez les mots de passe administrateur si le plugin était à jour d’usage mais pas de version depuis longtemps. Quatrième point, la prévention : planifiez une revue trimestrielle de vos extensions, version et utilité comprises, car le rapport Patchstack montre que le risque se concentre dans les plugins oubliés. Si votre site a subi une intrusion, faites appel à un professionnel avant de restaurer quoi que ce soit, une sauvegarde peut contenir le code malveillant.
Ce type d’incident rejoint un sujet plus large que j’ai traité récemment : lancer sa première campagne ChatGPT Ads en tant que TPE/PME montre à quel point les outils que l’on ajoute à son site ou à son marketing créent chacun une surface à maintenir. Un outil qu’on installe est un outil qu’on entretient.
FAQ
Mon site utilise All-in-One WP Migration mais je n’ai jamais fait d’import, suis-je quand même exposé ?
Le risque existe dès que la version est inférieure à 7.110, parce que l’attaque commence par des trackbacks que l’attaquant envoie sans votre intervention. La restauration d’archive n’est que l’étape finale. La mise à jour reste la seule réponse sérieuse, même sans import prévu.
Comment connaître la version d’un plugin quand on n’est pas technique ?
Dans l’administration WordPress, le menu Extensions affiche la version sous le nom de chaque plugin. Si vous passez par un prestataire, demandez-lui la version exacte d’All-in-One WP Migration et sa confirmation que le site tourne en 7.110 minimum. Une réponse par capture d’écran ne prend pas deux minutes.
La version gratuite de Wordfence protège-t-elle contre cette faille ?
Les clients payants de Wordfence ont reçu une règle de pare-feu dès le 16 août 2026, la version gratuite la reçoit le 15 septembre. Une règle de pare-feu réduit l’exposition mais ne remplace pas la mise à jour du plugin, qui supprime la faille elle-même.
Faut-il arrêter d’utiliser ce plugin ?
Pas nécessairement : l’éditeur a corrigé rapidement et la version 7.110 est considérée comme sûre. La question utile est plutôt l’inverse : ce plugin a-t-il encore une raison d’être actif sur votre site ? Un outil de migration qui ne sert qu’une fois par an mérite d’être désactivé entre deux usages.
Sources
- 5 Million WordPress Sites Affected by SQL Injection Vulnerability in All-in-One WP Migration and Backup, Wordfence (01/09/2026)
- CVE-2026-19949, base CVE
- Fiche officielle All-in-One WP Migration and Backup, wordpress.org (version 7.110, 20/08/2026)
- State of WordPress Security in 2026, Patchstack
- 3,25 millions de sites en danger : cette faille critique d’un plugin WordPress risque de faire des dégâts, 01net (04/09/2026)
Mis à jour le 09/09/2026 par Raphaël Marieux.