WordPress 7.0.2 : le plan de vérification Après le correctif critique
WordPress 7.0.2 corrige deux vulnérabilités graves, dont une injection SQL exploitable sans authentification. La mise à jour est prioritaire, mais elle ne constitue pas à elle seule un diagnostic de sécurité. Pour une PME, une agence ou un e-commerçant, il faut aussi vérifier les versions réellement installées, les comptes administrateurs, les journaux et les parcours métier sensibles.
Le 17 juillet 2026, WordPress.org a publié WordPress 7.0.2 comme mise à jour de sécurité. La version corrige deux problèmes affectant les versions récentes de WordPress. Le correctif concerne également certaines branches maintenues, avec des versions spécifiques pour WordPress 6.9 et WordPress 6.8.
L’enjeu n’est pas seulement d’installer la bonne version. Après une mise à jour critique, il faut vérifier que le site public, l’administration, les extensions, les comptes et les fonctions métier se comportent toujours comme prévu.
Ce que corrige WordPress 7.0.2
WordPress.org décrit une injection SQL ainsi qu’un problème de confusion dans la gestion des routes de l’API REST. Le second problème peut être combiné avec l’injection SQL pour atteindre un niveau d’impact élevé. Les correctifs ont été rétroportés vers WordPress 6.9.5 et WordPress 6.8.6.
Patchstack indique que ces vulnérabilités peuvent aller jusqu’à la prise de contrôle complète d’un site et signale une exploitation active. Cette information ne permet pas de conclure qu’un site particulier a été compromis, mais elle impose de traiter l’incident comme prioritaire lorsque la version corrigée n’est pas installée.
Pourquoi la mise à jour ne suffit pas
Une mise à jour corrige le code concerné. Elle ne prouve pas qu’une intrusion n’a pas eu lieu avant l’installation du correctif. Elle ne vérifie pas non plus les comptes inconnus, les fichiers récemment modifiés, les tâches planifiées, les extensions abandonnées ou les réglages ajoutés par un attaquant.
Le correctif réduit le risque futur, mais il ne remplace pas une vérification de compromission. Si le site présentait déjà des comportements inhabituels, conservez les journaux et faites intervenir un professionnel avant de supprimer des éléments qui pourraient servir à comprendre l’attaque.
Cas des sites métier et WooCommerce
Sur une boutique WooCommerce, vérifiez au minimum l’ajout au panier, le calcul des taxes et des frais de livraison, le paiement, les e-mails de commande et l’accès aux commandes depuis l’administration. Sur un espace client ou un site métier, testez la connexion, les permissions, les formulaires, les exports et les appels API. Une mise à jour réussie techniquement peut tout de même révéler une incompatibilité avec une extension ou un développement spécifique.
Profiter du correctif pour tester les prochaines évolutions
Le cycle WordPress 7.1 est déjà engagé. Le Developer Blog recommande de tester les extensions et thèmes avant que la version ne soit finalisée. Les sites utilisant Gutenberg, le FSE, des blocs personnalisés, ACF ou des intégrations API ont intérêt à disposer d’un environnement de préproduction pour isoler ces tests du site en production.
Ne mélangez pas une mise à jour de sécurité urgente avec plusieurs changements fonctionnels non testés. Installez d’abord le correctif, contrôlez le site, puis planifiez séparément les essais liés à WordPress 7.1 ou aux nouvelles versions d’extensions.
Poursuivez votre lecture
Trois articles pour aller plus loin.
Besoin d’un avis clair sur votre site ?
Premier échange clair · Priorités concrètes
Je peux vous aider à comprendre la situation, identifier les points importants et définir une intervention adaptée.
Premier échange gratuit · Sans engagement · Réponse rapide