WordPress : 6 plugins à 9.8 sans authentification (My Calendar, MailOptin, Mang Board, ELEX HelpDesk…)

Le 16 octobre 2026, NVD a publié six CVE notées 9.8 sur des plugins WordPress. Point commun : aucune ne demande de compte sur le site. Un visiteur anonyme suffit.

Les classes de failles diffèrent — élévation de privilèges, upload de fichier, prise de compte, injection d'objet PHP — mais l'issue est la même dans la plupart des cas : contrôle complet du site, soit par un compte administrateur, soit par l'exécution de code sur le serveur.

Toutes : CVSS 3.1 9.8, vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, publication NVD le 16 octobre 2026, aucune au CISA KEV à la date de rédaction. Les bornes sont celles de NVD (« jusqu'à et y compris ») : NVD ne donne pas la version corrigée. Vérifie la page du plugin ou l'avis de l'éditeur avant de considérer une version comme sûre.

My Calendar — CVE-2026-104798

Plugin de gestion d'événements. Un attaquant non authentifié peut faire appeler par le plugin des fonctions PHP arbitraires, ce qui permet d'écraser les identifiants du premier compte administrateur et d'obtenir un accès complet à wp-admin.

Condition d'exposition : elle est atteignable via la page de calendrier publique que le plugin crée par défaut à l'activation. Autrement dit, tout site avec My Calendar actif est exposé.

Action : mettre à jour au-delà de 3.8.7 dès qu'une version corrigée est disponible ; sinon, désactiver le plugin.

Mang Board — CVE-2026-109219

Plugin de forum / tableau d'affichage. La validation d'extension ne couvre pas tous les champs de l'upload : un attaquant non authentifié peut déposer un fichier potentiellement exécutable, donc exécuter du code sur le serveur.

Condition d'exposition : le tableau doit accepter les publications d'invités — c'est le mode par défaut du plugin.

Action : mettre à jour au-delà de 2.4.4. En attendant, désactiver les publications d'invités et interdire l'exécution PHP dans le répertoire d'uploads.

MailOptin — CVE-2026-109515

Plugin de formulaires d'inscription et de newsletter. Une validation manquante permet à un attaquant non authentifié de modifier le mot de passe de n'importe quel compte existant, administrateurs compris.

Condition d'exposition : un formulaire d'opt-in de type « inscription utilisateur WordPress » doit être publié quelque part sur le site. Vérifie le type de chacun de tes formulaires MailOptin.

Action : mettre à jour au-delà de 1.2.78.6. En attendant, dépublier les formulaires d'inscription utilisateur MailOptin.

ELEX HelpDesk — CVE-2026-103768

Plugin de ticketing. Les pièces jointes des emails récupérés par IMAP sont enregistrées sans contrôle suffisant du type de fichier : un attaquant qui envoie un email à la boîte relevée peut déposer un fichier potentiellement exécutable.

Condition d'exposition : la récupération des tickets par IMAP doit être configurée. Le vecteur d'entrée est alors une simple adresse email, souvent publique par nature (support@…).

Action : mettre à jour au-delà de 3.3.7. En attendant, désactiver la relève IMAP et interdire l'exécution de scripts dans le répertoire où les pièces jointes sont stockées.

Theme My Login — CVE-2026-89079

Plugin de personnalisation des pages de connexion. L'identité de l'utilisateur n'est pas correctement vérifiée avant un changement de mot de passe : prise de compte arbitraire.

Condition d'exposition : installations multisite, dans certaines configurations que NVD ne détaille pas. Un site simple n'est a priori pas concerné, mais vérifie l'avis éditeur.

Action : mettre à jour au-delà de 7.2.1 sur tout réseau multisite.

Sunshine Photo Cart — CVE-2026-104730

Plugin de galeries clients pour photographes. Désérialisation de données non fiables : injection d'objet PHP sans authentification.

Condition d'impact : NVD précise qu'aucune chaîne POP connue n'existe dans le plugin lui-même. La faille n'a d'impact que si un autre plugin ou thème installé en apporte une — auquel cas suppression de fichiers, vol de données ou exécution de code deviennent possibles. Le 9.8 décrit ce pire cas.

Action : mettre à jour au-delà de 3.7.4. Ne pas sous-estimer la condition : sur un site avec beaucoup de plugins, tu ne sais pas s'il existe une chaîne exploitable.

Détection

• Comptes administrateurs : liste-les, compare avec ce que tu attends, vérifie les dates de dernière modification de mot de passe — surtout l'administrateur d'origine (ID 1).
• Fichiers PHP dans wp-content/uploads/ : il ne devrait y en avoir aucun.
• Connexions wp-admin depuis des IP inconnues, ou réinitialisations de mot de passe que personne n'a demandées.
• Journaux d'accès : pic de requêtes anonymes vers les pages publiques des plugins concernés.

Pour un précédent comparable, voir notre article sur les quatre plugins WordPress critiques de mai 2026.

Mitigation générale

1. Identifier les sites qui utilisent un de ces six plugins (wp plugin list sur chaque instance).
2. Mettre à jour vers une version postérieure aux bornes NVD dès que l'éditeur la publie ; à défaut, désactiver le plugin.
3. Interdire l'exécution PHP dans wp-content/uploads/ au niveau du serveur web : ça neutralise une grande partie des failles d'upload, présentes et futures.
4. En cas de doute : réinitialiser les mots de passe administrateurs, faire tourner les clés et sels de wp-config.php, auditer les fichiers récemment modifiés.

Pourquoi surveiller en continu vos plugins WordPress

Six plugins, six classes de failles, six conditions d'exposition différentes, publiés le même jour. Sur un parc de sites WordPress, la seule question utile est « lequel de mes sites a lequel de ces plugins, dans quelle version » — et elle doit avoir une réponse avant l'exploitation.

Avec cveo.tech, inventorie tes plugins WordPress avec leur version et reçois une alerte dès qu'une CVE critique les touche.