Un plugin d’emailing, la version 1.31.0 et une prise de contrôle sans mot de passe — les 5 vérifications que j’ai faites sur nos 40 sites

Le bulletin de vulnérabilités du 6 septembre 2026 comptait 33 failles critiques. Une seule concerne directement la moitié des sites vitrines et boutiques de PME françaises : CVE-2026-10196, une injection d’objet PHP dans l’extension WordPress Mail Mint, notée 9,8 sur 10, exploitable sans aucun identifiant, et présente dans toutes les versions jusqu’à la 1.31.0 incluse. Le détail qui rend cette faille particulièrement traitresse n’est pas la note : c’est qu’un correctif a déjà été publié une fois, en 1.23.1, et qu’il était incomplet.

Ce que dit exactement l’avis

L’extension concernée est Mail Mint — Email Marketing, Newsletter, Email Automation & WooCommerce Emails, éditée par getwpfunnels. La vulnérabilité est classée CWE-502, désérialisation de données non fiables, et se situe dans la fonction handle_form_submission.

La mécanique est classique et redoutablement efficace. L’extension désérialise une entrée contrôlée par l’attaquant, ce qui permet d’injecter un objet PHP arbitraire. Prise isolément, une injection d’objet ne fait pas grand-chose : elle a besoin d’une « chaîne POP », c’est-à-dire d’une suite de méthodes existantes qui, appelées dans le bon ordre au moment où l’objet est détruit ou réveillé, aboutissent à une action utile pour l’attaquant. Ici, la chaîne est présente, et l’aboutissement est l’exécution de code sur le serveur.

Trois caractéristiques transforment cette faille en problème immédiat pour une PME :

• Aucune authentification requise. L’attaquant n’a besoin ni de compte, ni d’accès préalable : le déclenchement passe par une soumission de formulaire ordinaire vers les points d’entrée de l’extension.
• Un correctif partiel existe depuis la 1.23.1. Autrement dit, une partie du parc a été mise à jour, s’est crue protégée, et ne l’est pas.
• La surface est énorme. Une extension d’emailing couplée à WooCommerce est installée sur exactement le type de site qui traite des données clients et des commandes.

Le contexte du jour ne rassure pas non plus : le 6 septembre, le bulletin recensait 33 CVE critiques et 54 de niveau élevé, avec 10 vulnérabilités en exploitation active confirmée visant notamment SonicWall SMA1000, PaperCut, MikroTik RouterOS et Google Chrome.

Un correctif incomplet est plus dangereux qu’une absence de correctif, parce qu’il produit exactement le même sentiment de sécurité qu’un correctif complet. La seule défense est de comparer sa version installée au numéro publié dans l’avis le plus récent, jamais au souvenir de la dernière mise à jour.

Les 5 vérifications que nous avons faites sur nos 40 sites

Nous avons passé le parc de nos clients en revue le matin même. Deux heures, cinq contrôles, dans cet ordre.

1. Inventaire par version, pas par nom. La question n’est pas « avons-nous Mail Mint ? » mais « quelle version exacte tourne sur chaque site ? ». En ligne de commande WordPress, wp plugin list --format=csv donne la réponse en une seconde par site. Sans accès console, la page des extensions de l’administration affiche la version sous chaque nom.

2. Vérification que la mise à jour a réellement été appliquée. C’est le piège spécifique de cette faille. Une version comprise entre 1.23.1 et 1.31.0 apparaît comme « à jour » dans beaucoup de tableaux de bord de supervision, alors que le correctif qu’elle contient était partiel. Comparez au numéro de l’avis, pas au statut affiché.

3. Recherche de traces d’exploitation antérieure. Une injection d’objet réussie laisse rarement une erreur visible, mais elle laisse souvent des fichiers. Cherchez les fichiers PHP modifiés ou créés récemment dans wp-content/uploads, un répertoire qui ne devrait jamais contenir de code exécutable, ainsi que les comptes administrateurs créés depuis le début de l’été.

4. Contrôle de l’exécution PHP dans les répertoires de téléversement. C’est la mesure qui transforme une exécution de code en tentative ratée. Une règle serveur interdisant l’exécution de PHP sous wp-content/uploads coûte dix minutes et bloque une large famille d’attaques, indépendamment de l’extension fautive du mois.

5. Sauvegarde vérifiée avant toute mise à jour. Pas une sauvegarde planifiée : une sauvegarde dont vous avez testé la restauration. Une mise à jour d’extension d’emailing sur un site WooCommerce en production peut casser des automatisations, et le moment de le découvrir n’est pas après.

Résultat sur notre parc : trois sites concernés, dont deux en zone orange — mis à jour au printemps vers une version postérieure à 1.23.1, donc considérés comme traités, et en réalité toujours vulnérables.

Pourquoi les extensions, encore et toujours

WordPress lui-même est raisonnablement sûr et corrigé rapidement. Le risque réel vit dans les extensions, pour trois raisons structurelles qu’aucun correctif ne changera.

Le nombre. Un site de PME française moyen embarque entre quinze et trente extensions. Chacune est un projet indépendant, avec sa propre qualité de code, son propre rythme de publication et son propre niveau d’attention à la sécurité.

L’abandon silencieux. Une extension cesse rarement d’exister : elle cesse d’être maintenue, ce qui ne déclenche aucune alerte et ne change rien à son fonctionnement. Elle continue à tourner parfaitement pendant deux ans, jusqu’au jour où quelqu’un publie un avis la concernant et qu’aucun correctif n’arrive.

Le délai humain. Entre la publication d’un avis et l’application effective du correctif sur le site d’une PME, il s’écoule couramment plusieurs semaines. L’automatisation de l’exploitation, elle, se compte en heures. C’est ce décalage, et non la sophistication des attaques, qui explique la majorité des compromissions que nous constatons. Notre analyse de la faille d’injection SQL dans All-in-One WP Migration décrivait exactement le même schéma il y a quelques jours.

À faire cette semaine

Quatre actions, par ordre de rendement décroissant.

Mettre à jour Mail Mint au-delà de la 1.31.0 sur tous les sites concernés, après sauvegarde vérifiée. Si l’extension n’est pas réellement utilisée — cas fréquent après un changement d’outil d’emailing — désinstallez-la plutôt que de la désactiver : une extension désactivée reste sur le disque et reste parfois joignable.

Interdire l’exécution de PHP dans les répertoires de téléversement. Dix minutes de configuration serveur, valable pour toutes les failles de cette famille, passées et futures.

Constituer l’inventaire des extensions par version pour l’ensemble du parc, et le maintenir automatiquement. C’est le seul investissement de cette liste qui réduit le coût de tous les avis suivants.

Consigner l’incident potentiel si vous êtes soumis à NIS2 ou si vous traitez des données personnelles. Une vérification menée, datée et concluant à l’absence de compromission est une preuve utile ; la même vérification non consignée n’existe pas aux yeux d’un auditeur. Notre méthode de plan de remédiation après un rapport de pentest détaille le format de consignation qui tient devant un contrôle.

Questions fréquentes