Faille dans Ultra Addons for Contact Form 7 (CVSS 9,8) : ce que les agences doivent vérifier aujourd’hui

Le 2 novembre 2026, Wordfence a publié une faille critique dans Ultra Addons for Contact Form 7, une extension avec plus de 60 000 installations actives. Elle est notée CVSS 9,8, ne demande aucune connexion et peut supprimer n’importe quel fichier du serveur, y compris wp-config.php. Une version corrigée est disponible depuis des semaines, donc pour la plupart des agences c’est une vérification rapide. Voici qui est concerné, comment vérifier un site client en deux minutes et que faire si un site semble déjà anormal.

Ce qu’est la faille

• Identifiant : CVE-2026-102435, CVSS 9,8 (critique), signalée via Wordfence.
• Type : injection d’objet PHP sans authentification via un champ de formulaire Contact Form 7, menant à la suppression arbitraire de fichiers.
• Pourquoi c’est grave : supprimer wp-config.php renvoie WordPress à son écran d’installation. Quiconque remplit cet écran peut relier le site à sa propre base de données et en prendre le contrôle.

Qui est concerné

Les sites avec Ultra Addons for Contact Form 7 en version 3.5.54 ou antérieure, avec le module PDF Generator activé et au moins un formulaire configuré pour générer un PDF. Les sites qui ont l’extension sans utiliser la fonction PDF ne sont pas exposés à cette chaîne, mais doivent quand même mettre à jour. La version actuelle est la 3.5.57 ; la correction est arrivée dans les versions après la 3.5.54.

Nous n’avons trouvé aucune attaque confirmée dans les sources vérifiées le 5 novembre 2026. Certaines lettres d’information sécurité disent que des détails d’exploitation circulent, et une 9,8 sans connexion est le genre de faille que l’on scanne vite. N’attendez pas de preuve d’attaques.

Vérifier un site en deux minutes

1. Dans wp-admin : Extensions, cherchez « Ultra Addons ». Notez la version. Si elle est 3.5.54 ou inférieure, ouvrez les réglages des modules de l’extension et regardez si PDF Generator est activé.
2. Avec WP-CLI : wp plugin get ultimate-addons-for-contact-form-7 --field=version. Lancez-le sur tous les sites clients pour obtenir une seule liste.
3. Regardez le site public : si le site affiche soudain l’écran d’installation de WordPress ou l’écran « créer un fichier de configuration », wp-config.php a disparu. Traitez cela comme un incident (voir ci-dessous).

Que faire maintenant

1. Mettre à jour vers 3.5.57 sur chaque site qui a l’extension, avec ou sans la fonction PDF.
2. Testez un formulaire après la mise à jour. Envoyez-le, vérifiez que l’e-mail arrive et, si vous générez des PDF, que le PDF est joint. Les versions récentes ont aussi modifié l’envoi de fichiers et la gestion des PDF.
3. Impossible de mettre à jour aujourd’hui ? Désactivez le module PDF Generator en attendant.
4. Si un site affiche l’écran d’installation : ne le remplissez pas. Mettez le site hors ligne chez l’hébergeur, restaurez fichiers et base de données depuis une sauvegarde d’avant le problème, mettez l’extension à jour, puis changez les mots de passe de la base et des administrateurs ainsi que les clés de salage dans wp-config.php. Cherchez des comptes administrateur et des fichiers inconnus. Notre routine pour un jour de vulnérabilité et notre guide de restauration donnent toutes les étapes.

Comment Verploy aide

Chaque mise à jour est vérifiée. Les plus risquées sont d’abord testées sur une copie, formulaires compris. Les vulnérabilités connues apparaissent par site avec un lien vers la source : un seul tableau de bord vous dit quels sites clients tournent encore en 3.5.54 ou antérieure. Des sauvegardes nocturnes chiffrées dans l’UE vous donnent un point propre où revenir. En savoir plus sur la surveillance des vulnérabilités pour les agences.

Source : fiche CVE-2026-102435 (attribuée par Wordfence), publiée le 2 novembre 2026, wordfence.com; page de l’extension et journal des modifications, wordpress.org. Vérifié le 5 novembre 2026.