Extensions WordPress exploitées en octobre 2026 : Ninja Forms, WPC Product Bundles et Bricksforge

Publié le 14 octobre 2026 · L'équipe mitza.es

Au cours de la première semaine d'octobre 2026, la société de sécurité Patchstack a détecté l'exploitation active de failles dans trois extensions WordPress. Deux d'entre elles, Ninja Forms et WPC Product Bundles for WooCommerce, font partie d'une même campagne qui laisse des portes dérobées sur le site. La troisième, Bricksforge, permet d'exécuter du code sans même se connecter. Ninja Forms compte plus de 500 000 installations actives : ce n'est donc pas une extension de niche, et beaucoup de sites de PME l'utilisent pour leur formulaire de contact.

Ninja Forms et WPC Product Bundles : une campagne qui laisse des administrateurs cachés

Les deux failles sont de type cross-site scripting stocké et de gravité élevée : CVE-2026-94504 dans Ninja Forms (versions 3.15.3 et antérieures, corrigée dans la 3.15.4) et CVE-2026-93836 dans WPC Product Bundles (versions 8.6.6 et antérieures, corrigée dans la 8.6.7, avec plus de 30 000 installations). Patchstack a observé l'activité contre WPC Product Bundles le 4 octobre et contre Ninja Forms le lendemain ; BleepingComputer l'a publiée le 6.

L'attaque fonctionne ainsi : l'attaquant dépose un fragment de JavaScript malveillant dans les données d'une commande WooCommerce ou dans l'envoi d'un formulaire Ninja Forms. Il ne se passe rien tant qu'un administrateur connecté n'ouvre pas ce contenu dans le tableau de bord. À ce moment-là, le script s'exécute avec les droits de l'administrateur, installe une fausse extension nommée « WP Smart Thumbnails » (version 1.2.4, de « MediaPress Labs ») et crée des comptes administrateur. Comme le code malveillant provient du même domaine dans les deux cas, BleepingComputer l'attribue à un seul acteur. Patchstack décrit l'exploitation comme limitée pour l'instant.

Le plus gênant est que chaque attaque laisse plusieurs voies de retour : un compte administrateur visible, un autre caché, une URL de connexion secrète qui ouvre une session en tant que l'administrateur le plus ancien et un gestionnaire de fichiers sans authentification à l'intérieur de la fausse extension. C'est pourquoi BleepingComputer insiste : mettre à jour empêche de nouvelles infections, mais ne nettoie pas un site déjà compromis.

Bricksforge : envoi de fichiers sans authentification et CVSS 10

CVE-2026-85097 touche les versions 3.1.8.9 et antérieures de Bricksforge, un complément pour le constructeur Bricks, et est corrigée dans la 3.1.8.10. Un attaquant sans compte peut téléverser un fichier déguisé en image qui contient en réalité du code PHP et l'exécuter sur le serveur. Patchstack lui attribue un CVSS de 10,0 (SecurityWeek le situe à 9,8) et a enregistré les premières tentatives d'exploitation le 7 octobre 2026, à 21:47 UTC, avec du trafic automatisé provenant de 63 adresses IP différentes.

SecurityWeek estime que l'extension est utilisée sur environ 6 000 sites, un chiffre bien inférieur à celui de Ninja Forms, mais la gravité de la faille et la rapidité de l'attaque justifient l'urgence. Patchstack a en outre publié une règle d'atténuation pour ceux qui ne peuvent pas mettre à jour immédiatement.

Comment savoir si votre site est touché

• Regardez dans le tableau de bord des extensions quelles versions de Ninja Forms, WPC Product Bundles et Bricksforge vous avez, et comparez-les aux versions corrigées.
• Cherchez l'extension « WP Smart Thumbnails » 1.2.4 : elle ne devrait pas figurer dans votre installation.
• Vérifiez les administrateurs, mais pas seulement sur l'écran Utilisateurs du tableau de bord, car l'un des comptes peut être caché : contrôlez aussi directement la table des utilisateurs dans la base de données.
• Si vous utilisez Bricksforge, cherchez des fichiers PHP inattendus dans le dossier de téléversements de WordPress, en particulier dans /wp-content/uploads/bricksforge/tmp/ et des fichiers nommés login_admin_*.php.
• Contrôlez aussi le dossier wp-content/mu-plugins : tout fichier que vous n'y avez pas mis vous-même mérite une explication.

Si vous trouvez quelque chose, mettre à jour ne suffit pas. La démarche prudente consiste à restaurer une sauvegarde antérieure au 4 octobre, à changer les mots de passe de tous les administrateurs, en commençant par le plus ancien, et à renouveler les clés de sécurité de wp-config.php. Si vous n'avez pas de sauvegarde saine, mieux vaut la faire examiner par quelqu'un d'expérimenté avant de considérer le site comme rétabli.

Pourquoi les extensions sont le maillon faible de WordPress

Ce schéma se répète. Le mois dernier, le cœur de WordPress lui-même a eu son alerte avec la faille critique CVE-2026-87902, et début septembre nous avons couvert la vulnérabilité critique d'Elementor Pro. Chaque extension est du code tiers avec son propre calendrier de correctifs, et plus un site met de temps à se mettre à jour, plus il reste exposé à une faille dont le correctif est déjà publié.

Que faire dès aujourd'hui

Mettez à jour les trois extensions si vous les utilisez, et désactivez puis supprimez celles dont vous n'avez pas besoin : une extension qui n'est pas installée ne peut pas être attaquée. Si vous préférez ne pas vous en occuper vous-même, notre service de maintenance de site web se charge des mises à jour, des sauvegardes et de la surveillance, et dans le guide sur ce que comprend un plan de maintenance nous expliquons comment comparer les propositions. Pour un examen ponctuel d'un site qui vous inquiète, notre audit de sécurité web vérifie les extensions, les utilisateurs et la configuration, et si votre site dépend de trop de compléments, nous pouvons aussi envisager un développement sur mesure avec moins de pièces tierces.