WordPress 7.1.3 : 3 mises à jour de sécurité en 3 semaines, la checklist PME

Entre le 17 septembre et le 6 octobre 2026, WordPress a publié trois mises à jour de sécurité (7.1.1, 7.1.2 et 7.1.3), dont une corrige une faille jugée critique. Si votre site d’entreprise tourne sous WordPress, il doit aujourd’hui être en version 7.1.3 (ou dans la dernière version de sa branche) — et ses extensions doivent suivre. Voici ce qui a été corrigé, comment vérifier votre site en dix minutes et quelle routine de maintenance adopter pour ne plus courir derrière les correctifs.

Ce qui s’est passé : trois correctifs en trois semaines

WordPress 7.1, baptisée « Mary Lou », a été publiée le 19 août 2026. C’est une version riche en nouveautés : réglages de styles par taille d’écran sans CSS, nouvel éditeur d’images (recadrage, rotation, métadonnées), traitement des images directement dans le navigateur, prise en charge des formats AVIF et HEIC, blocs « Onglets » et « Playlist ». Comme souvent après une version majeure, les correctifs se sont ensuite enchaînés.

Le calendrier des mises à jour

Les sites restés sur les branches précédentes ne sont pas oubliés : le même 6 octobre, WordPress a aussi publié les versions 7.0.7 et 6.9.10. Mais la page officielle des versions est claire : seule la version la plus récente de la série 7.1 est considérée comme sûre à utiliser.

La faille critique de la 7.1.2, en clair

D’après l’annonce officielle, un attaquant non connecté pouvait, dans certaines conditions, forcer WordPress à charger un fichier PHP situé hors du thème actif. Si la configuration du serveur et du thème s’y prêtait, cela pouvait aller jusqu’à l’exécution de code à distance, c’est-à-dire une prise de contrôle du site. Le correctif a été reporté sur toutes les branches encore éligibles aux correctifs de sécurité, jusqu’à la 4.7. WordPress recommandait une mise à jour immédiate.

Les 7 correctifs de la 7.1.3

L’analyse publiée par Patchstack détaille les sept failles corrigées le 6 octobre. Parmi elles :

• une faille XSS stockée sur la page d’administration des commentaires, déclenchable à partir d’un simple commentaire en attente de modération ;
• une injection SQL « de second ordre » lors de l’export WXR (l’export de contenu) ;
• l’exposition, sans connexion, de commentaires publiés sur des articles privés ou non publiés ;
• une faille XSS via l’intégration de contenus Imgur, exploitable par un contributeur ;
• un défaut d’autorisation permettant à un auteur de rendre un article « épinglé ».

Plusieurs de ces failles exigent un compte contributeur ou supérieur : c’est une raison de plus pour faire le ménage dans les comptes utilisateurs de votre site.

Pourquoi c’est important pour une TPE ou une PME

Le cœur de WordPress est en réalité assez peu vulnérable. Le rapport « State of WordPress Security in 2026 » de Patchstack, qui porte sur l’année 2025, recense 11 334 nouvelles vulnérabilités dans l’écosystème WordPress, soit une hausse de 42 % par rapport à 2024. Mais 91 % concernent des extensions, 9 % des thèmes, et seules 6 touchent le cœur — toutes de faible priorité.

Trois autres chiffres du même rapport devraient retenir l’attention d’un dirigeant :

• 46 % des vulnérabilités n’avaient aucun correctif disponible au moment de leur divulgation publique ;
• pour les failles les plus exploitées, le délai médian avant la première attaque est de 5 heures ;
• lors des tests menés par Patchstack, les protections classiques des hébergeurs n’ont bloqué qu’une minorité des attaques visant spécifiquement WordPress (12 % lors du premier test, 26 % lors du second).

Autrement dit : compter uniquement sur votre hébergeur ou sur les mises à jour automatiques du cœur ne suffit pas. Ce sont les extensions — formulaire de contact, constructeur de pages, module de réservation, boutique — qui concentrent le risque. Et un site piraté, c’est un formulaire de devis qui ne fonctionne plus, des redirections vers des sites douteux, un avertissement de sécurité dans Google et, souvent, une chute de visibilité difficile à rattraper.

Comment vérifier votre site en 10 minutes

1. Contrôler la version de WordPress

Dans votre tableau de bord, ouvrez Tableau de bord → Mises à jour. La version installée y est indiquée. Elle doit être la 7.1.3 si vous êtes passé en 7.1, ou la 7.0.7 / 6.9.10 si votre site est resté sur une branche antérieure. Les sites dont les mises à jour automatiques en arrière-plan sont actives ont normalement reçu ces correctifs sans intervention : vérifiez-le quand même.

2. Passer en revue les extensions et le thème

Toujours dans Mises à jour, regardez la liste des extensions et thèmes en attente. Repérez aussi les extensions désactivées mais encore installées : leurs fichiers restent sur le serveur. Supprimez celles qui ne servent plus.

3. Faire le ménage dans les comptes

Dans Comptes → Tous les comptes, vérifiez qui dispose d’un rôle Contributeur, Auteur, Éditeur ou Administrateur. Un ancien stagiaire, un prestataire parti depuis deux ans, un compte « test » : autant de portes d’entrée inutiles. Activez la double authentification pour les administrateurs.

4. Consulter la Santé du site

L’outil Outils → Santé du site signale notamment une version de PHP obsolète, des thèmes inactifs ou l’absence de HTTPS. C’est un bon thermomètre, gratuit et intégré.

5. Vérifier Search Console

Dans Google Search Console, le rapport « Problèmes de sécurité » indique si Google a détecté un piratage ou un contenu malveillant sur votre domaine. Un message à cet endroit justifie une intervention immédiate.

La routine de maintenance qui évite les mauvaises surprises

Une mise à jour isolée ne suffit pas : ce qui protège un site, c’est la régularité. Voici la routine que nous recommandons pour un site vitrine ou une petite boutique.

Versions mineures et versions majeures : ne pas tout traiter pareil

Une version mineure (7.1.2, 7.1.3…) corrige des bugs et des failles : elle s’installe vite, avec un risque faible. Une version majeure (7.0, 7.1) ajoute des fonctionnalités et modifie parfois l’éditeur ou le rendu des blocs : elle mérite un test préalable, surtout si votre site utilise un constructeur de pages ou un thème ancien. Ne pas mettre à jour du tout n’est pas une option : seule la dernière version est activement maintenue.

Mises à jour automatiques : oui, mais encadrées

Activer les mises à jour automatiques des versions mineures du cœur est une bonne pratique. Pour les extensions, c’est plus délicat : une mise à jour automatique d’un module de paiement ou de formulaire peut casser une fonction essentielle sans que personne ne s’en aperçoive. L’idéal est de combiner mises à jour automatiques pour les extensions simples et contrôle manuel pour les extensions critiques, avec une surveillance de disponibilité du site.

Et les nouveautés de WordPress 7.1, ça vaut le coup ?

Au-delà de la sécurité, WordPress 7.1 apporte des améliorations concrètes pour un site d’entreprise :

• Styles responsives sans code : vous réglez l’apparence d’un bloc différemment sur mobile, tablette et ordinateur, sans écrire de CSS.
• Images plus légères : la compression et le redimensionnement se font dans le navigateur, avec la prise en charge de l’AVIF, un format très compact. Des images plus légères, c’est un site plus rapide, un atout pour l’expérience utilisateur et le référencement.
• Nouvel éditeur d’images : recadrage, rotation et métadonnées dans une même fenêtre, pratique pour soigner vos visuels.
• Bloc Onglets : pour présenter une offre ou une FAQ de façon compacte.

Ces gains ne s’obtiennent que sur un site à jour et bien entretenu : c’est l’autre argument en faveur d’une maintenance régulière.

Faire soi-même ou déléguer ?

Si vous êtes à l’aise avec votre tableau de bord, que votre site compte peu d’extensions et que vous disposez de sauvegardes fiables, la routine ci-dessus est tout à fait gérable en interne, à condition de la tenir dans la durée. Le risque, c’est l’oubli : la mise à jour qui attend trois semaines parce que l’activité a pris le dessus.

Déléguer devient pertinent si votre site génère des demandes de devis ou des ventes, s’il utilise un constructeur de pages ou une boutique, ou si personne en interne n’a le temps de suivre l’actualité des failles. Chez ADME-AI Studio, la maintenance WordPress est proposée à 90 € HT par mois : mises à jour suivies, sauvegardes, contrôle après intervention et surveillance du site. Vous avez un interlocuteur unique, Jimmy, qui s’appuie sur des outils de surveillance et, selon les besoins, sur des partenaires spécialisés.

Questions fréquentes

Quelle version de WordPress dois-je avoir en octobre 2026 ?

La version 7.1.3, publiée le 6 octobre 2026, si votre site est sur la branche 7.1. Les sites restés sur des branches antérieures doivent au minimum disposer de la dernière version de leur branche (par exemple 7.0.7 ou 6.9.10), mais seule la dernière version est activement maintenue.

Les mises à jour automatiques suffisent-elles à protéger mon site ?

Non. Elles couvrent en général les versions mineures du cœur, alors que 91 % des vulnérabilités recensées par Patchstack en 2025 concernaient des extensions. Il faut aussi mettre à jour les extensions et le thème, supprimer ceux qui ne servent plus et faire des sauvegardes régulières.

Une mise à jour peut-elle casser mon site ?

C’est possible, surtout lors d’une version majeure ou avec des extensions anciennes. D’où l’importance d’une sauvegarde avant chaque intervention, d’un test des pages clés après la mise à jour et, pour les versions majeures, d’un essai préalable sur une copie du site.

Combien coûte la maintenance d’un site WordPress ?

Cela dépend du périmètre et du prestataire. Chez ADME-AI Studio, la maintenance est proposée à 90 € HT par mois et comprend les mises à jour, les sauvegardes, le contrôle après intervention et la surveillance du site.

Vous ne savez pas si votre site est à jour, ou vous préférez ne plus avoir à y penser ? Contactez Jimmy pour un contrôle rapide de votre site WordPress, et consultez la grille complète sur la page services et tarifs. Pour aller plus loin, lisez aussi notre guide Cyberattaque : que faire dans les 24 premières heures et nos 7 signes qu’il est temps de refondre votre site.