Faille critique d'UpdraftPlus corrigée sur tous les sites WordPress hébergés chez SiteGround

Si votre site utilise le plugin de sauvegarde UpdraftPlus, voici l’essentiel : une faille critique a été découverte dans le plugin, et nous l’avons déjà mis à jour vers la version corrigée sur tous les sites affectés que nous hébergeons. Vous êtes protégé et vous n’avez rien à faire.

Voici ce qui s’est passé, ce que nous avons fait et ce qu’il convient de surveiller.

Votre site est déjà protégé

Le 11 juin 2026, notre équipe d’ingénieurs a forcé la mise à jour du plugin UpdraftPlus sur tous les sites hébergés utilisant une version vulnérable. Chaque installation affectée a été mise à jour vers la version 1.26.5, qui contient le correctif officiel. Plus de 128 000 sites sur notre plateforme utilisaient une version vulnérable, et tous ont été corrigés.

Nous avons testé les chemins de mise à jour avant tout déploiement et n’avons constaté aucun problème. Nous ne prévoyons aucune perturbation de site à la suite de cette mise à jour.

En quoi consiste la faille

La faille, suivie sous CVE-2026-10795, est un contournement d’authentification non authentifié affectant les versions d’UpdraftPlus jusqu’à 1.26.4. En termes simples, elle permettait aux attaquants d’obtenir un accès administrateur à un site WordPress sans connaître de nom d’utilisateur ou de mot de passe. À partir de là, ils pouvaient exécuter du code sur le site, ce qui est aussi grave qu’une vulnérabilité de plugin puisse l’être.

L’aspect « non authentifié » est ce qui rend cette faille critique. De nombreuses vulnérabilités exigent qu’un attaquant dispose déjà d’un certain niveau d’accès, comme un compte abonné ou contributeur. Celle-ci ne nécessitait absolument rien. Tout site utilisant une version vulnérable était exposé à quiconque connaissait la faille.

Ce que nous avons fait et quand 

Dès la divulgation de la vulnérabilité, notre équipe a mis moins d’une heure pour déployer de manière proactive la version corrigée du plugin sur tous les sites affectés, agissant immédiatement pour fermer la fenêtre d’exposition avant que les attaquants ne puissent l’exploiter à grande échelle, plutôt que d’attendre que les propriétaires de sites effectuent la mise à jour manuellement ou soient affectés de quelque manière que ce soit.

Voici à quoi ressemblait la réponse :

• Nous avons identifié tous les sites hébergés exécutant les versions 1.24.x, 1.25.x et 1.26.x d’UpdraftPlus.
• Nous avons testé les mises à jour de 1.24.x à 1.26.x et d’autres versions affectées à 1.26.5 à l’avance pour confirmer que la mise à jour ne causerait pas de problèmes.
• Nous avons mis à jour de force plus de 128 000 installations affectées vers la version corrigée 1.26.5.
• Le processus complet a été achevé en environ 52 minutes.

La mise à jour affectera-t-elle mon site web ?

Nous ne nous y attendons pas. Les mises à jour du plugin entre ces versions ont été testées avant le déploiement, et aucun problème n’est apparu.

Cela dit, si vous souhaitez une tranquillité d’esprit supplémentaire, voici deux choses rapides que vous pouvez vérifier :

• Confirmez que votre calendrier de sauvegarde dans UpdraftPlus est toujours configuré comme vous l’avez défini.
• Vérifiez que votre sauvegarde la plus récente a été complétée avec succès.

Les deux prennent moins d’une minute depuis votre tableau de bord WordPress.

Pourquoi nous forçons les mises à jour pour les failles critiques

Lorsqu’une vulnérabilité est critique, facilement exploitable et divulguée publiquement, chaque heure de retard compte. Les attaquants commencent à rechercher des sites vulnérables dans les heures qui suivent une divulgation comme celle-ci, et attendre que chaque propriétaire de site mette à jour manuellement laisserait des milliers de sites exposés entre-temps.

Dans ces situations, nous corrigeons d’abord et notifions juste après. Nous croyons qu’une mise à jour proactive est toujours le meilleur compromis par rapport à laisser les sites ouverts à une prise de contrôle complète.

En règle générale, nous recommandons également de garder les mises à jour automatiques des plugins activées autant que possible. C’est l’habitude la plus efficace pour rester en avance sur les vulnérabilités comme celle-ci.