Failles des thèmes & plugins WordPress : Avada, Elementor, Slider Revolution — êtes-vous exposé ?

Un thème ou une extension WordPress, c’est du code que vous n’avez pas écrit et qui tourne sur votre site. Quand il contient une faille, votre site devient une porte ouverte — même si vous n’avez rien fait de mal. Et les thèmes les plus populaires sont les plus visés, précisément parce qu’ils sont partout. Voici trois cas récents (2026), ce qu’ils veulent dire pour votre entreprise, et comment savoir si vous êtes exposé.

Pourquoi les thèmes et plugins « stars » sont des cibles

Un pirate ne cherche pas votre site en particulier : il cherche une faille présente sur des milliers de sites d’un coup. Un thème vendu un million de fois ou une extension installée sur des millions de sites, c’est un seul bug qui ouvre des milliers de portes. Les attaques sont automatisées : des robots scannent le web en continu, repèrent la version de votre thème/plugin, et frappent celles qui sont vulnérables — souvent quelques jours seulement après la publication de la faille.

Trois failles WordPress récentes (2026)

Avada — prise de contrôle du site à distance

Avada est l’un des thèmes WordPress premium les plus vendus au monde. En août 2026, une faille critique (CVE-2026-18431) a été divulguée : elle permet à un attaquant non authentifié d’écrire un fichier sur le serveur et d’exécuter du code à distance (RCE) — autrement dit, de prendre le contrôle du site sans mot de passe. Sont concernées les versions jusqu’à 7.16 (avec Fusion Builder ≤ 3.16). Correctif : mettre Avada et Fusion Builder à jour vers la dernière version publiée. (Sources : Patchstack, The Hacker News, BleepingComputer.)

Elementor Pro — un simple formulaire suffit

Elementor équipe des millions de sites. La faille CVE-2026-32475 (score CVSS 9,0) touche le champ « Téléversement de fichier » des formulaires : en envoyant deux morceaux de fichier pour le même champ, un attaquant non authentifié contourne le filtre d’extensions et dépose un fichier PHP exécutable. Il suffit qu’une page publiée contienne un formulaire avec un champ d’upload — une configuration courante. Versions affectées : jusqu’à 4.2.1. Corrigé en 4.2.2 (19 août 2026). (Source : The Hacker News / Patchstack.)

Slider Revolution — un classique toujours d’actualité

Slider Revolution (RevSlider) est présent sur des millions de sites, souvent intégré dans des thèmes achetés « clé en main ». Il a fait l’objet de plusieurs vulnérabilités, dont CVE-2026-6692 en 2026. Le piège classique : le plugin est livré caché dans un thème, l’utilisateur ne sait même pas qu’il l’a, et ne le met donc jamais à jour. (Sources : Patchstack, IT-Connect.)

Et ce ne sont pas des cas isolés : fin août 2026, cinq failles critiques (score 9,8 à 10) ont été publiées la même semaine sur des extensions très répandues (Avada, GiveWP, Pods, TranslatePress, WPMU DEV). Le message est clair : être connu et populaire ne protège de rien.

Ce que ça veut dire pour votre entreprise

Un site compromis, ce n’est pas juste « technique ». C’est concret :

• Vol de données : coordonnées clients, messages de contact, parfois données de paiement.
• Défiguration ou redirection : vos visiteurs envoyés vers un site frauduleux.
• Blacklist Google : un site infecté peut être marqué « site dangereux » et disparaître des résultats du jour au lendemain.
• Responsabilité RGPD : en cas de fuite de données personnelles, c’est vous le responsable de traitement.
• Coût de remédiation : nettoyer un site piraté coûte bien plus cher que de le maintenir à jour.

Êtes-vous exposé ? La check-list rapide

• Votre thème est-il Avada, Divi, Elementor ou un thème « premium » acheté sur une marketplace ?
• Savez-vous quelle version de votre thème et de vos extensions tourne aujourd’hui ?
• Les mises à jour sont-elles faites régulièrement (et testées) ?
• Avez-vous des plugins cachés dans le thème (comme Slider Revolution) que vous ne mettez jamais à jour ?
• Avez-vous une sauvegarde récente et testée, capable de tout restaurer ?

Si vous hésitez sur une seule de ces questions, vous êtes probablement exposé sans le savoir.

Que faire maintenant

1. Mettez à jour le cœur WordPress, le thème et toutes les extensions — en priorité Avada, Elementor et Slider Revolution s’ils sont présents.
2. Faites l’inventaire de ce qui tourne réellement sur votre site (thème, extensions, versions).
3. Sauvegardez automatiquement et vérifiez que la restauration fonctionne.
4. Faites auditer votre site : un diagnostic repère les versions vulnérables et les portes ouvertes avant les pirates.

Questions fréquentes

Je n’ai rien fait de spécial, pourquoi mon site serait-il visé ?

Vous n’êtes pas visé personnellement. Des robots scannent le web en masse à la recherche de versions vulnérables connues. Si la vôtre en fait partie, elle est trouvée automatiquement, sans que personne ne vous « cible ».

Mettre à jour peut-il casser mon site ?

C’est le vrai frein — d’où l’intérêt d’une maintenance qui teste les mises à jour avant de les appliquer, avec une sauvegarde prête à restaurer. Ne pas mettre à jour est un risque bien plus grand.

Comment savoir quelle version j’utilise ?

Un diagnostic gratuit détecte le thème, les extensions et leurs versions depuis l’extérieur, et vous dit lesquelles sont à risque. Voir aussi notre page sécurité informatique pour PME.