Duplicator (WordPress) : une faille liée aux migrations corrigée en version 5.0.0

En bref

• Le fait. Le 22 octobre 2026, Wordfence a publié l'analyse d'une faille de l'extension Duplicator, très utilisée pour sauvegarder et déplacer un site WordPress (plus d'un million d'installations). Un visiteur anonyme peut déposer un contenu piégé dans un simple commentaire. Ce contenu reste inactif jusqu'au jour où un administrateur crée une archive Duplicator et s'en sert pour migrer le site : il peut alors permettre l'exécution de commandes sur le serveur ou la prise de contrôle du site. La faille est corrigée depuis la version 5.0.0, publiée le 8 septembre 2026. Aucune exploitation n'est signalée.
• Êtes-vous concerné ? Oui, si votre site WordPress utilise Duplicator (version gratuite jusqu'à 1.5.17) ou Duplicator Pro (jusqu'à 4.6.10), et surtout si une migration ou un changement d'hébergement est prévu.
• Quoi faire :
  1. vérifiez que l'extension est en version 5.0.0 ou plus récente, ou demandez-le à votre prestataire ;
  2. avant toute migration, recréez une archive avec la version à jour : la mise à jour de l'extension ne modifie pas les archives déjà créées ;
  3. faites supprimer du serveur les fichiers d'installation Duplicator restés accessibles et devenus inutiles.
• Urgence : haute. Wordfence recommande la mise à jour dès que possible. Le risque se concrétise surtout au moment d'une migration.

Détail technique

Identifiants. CVE-2026-82814, CVSS 3.1 de 8.8 (haute), attribuée par Wordfence. Avis GitHub GHSA-pq4f-mjh8-pjp9 (non revu par GitHub). Fiche NVD publiée le 21 octobre 2026.

Nature de la faille. Injection d'objet PHP de second ordre. Lors d'une migration, le moteur de rechercher-remplacer de l'installateur Duplicator désérialise sans restriction certains contenus de la base de données. Un commentaire déposé sans compte, même en attente de modération, est conservé en base, copié dans l'archive, puis traité au moment de la migration. Selon Wordfence, l'édition gratuite permet alors l'exécution de commandes système avec les droits du serveur web, et l'édition Pro la suppression de fichiers pouvant conduire à la prise de contrôle du site.

Conditions. L'attaque exige que le contenu piégé soit stocké avant la création de l'archive, puis qu'un administrateur utilise cette archive pour une migration ou un import standard. Wordfence indique que la simple création d'une sauvegarde ne déclenche pas la faille, et qu'il ne l'a pas reproduite via les modes de restauration de Duplicator. Désactiver les commentaires publics réduit le risque sans remplacer la mise à jour, car d'autres contenus peuvent servir de vecteur.

Correctif. La version 5.0.0 (gratuite et Pro) restreint la désérialisation lors de la migration. Les archives créées avec une version vulnérable conservent leur ancien installateur : Wordfence conseille de recréer une archive avec une version corrigée avant toute migration ou import, et de supprimer les installateurs autonomes accessibles publiquement qui ne servent plus.

Calendrier (Wordfence). Découverte le 30 août 2026, signalement à l'éditeur le 31 août, version 5.0.0 publiée le 8 septembre, publication de l'analyse le 22 octobre 2026.

Exploitation et KEV. Aucune exploitation n'est signalée par Wordfence. La CVE ne figure pas au catalogue KEV de la CISA à la date de rédaction (23 octobre 2026).

Vérifier sa version. Dans l'administration : Extensions, Extensions installées. En ligne de commande avec WP-CLI : wp plugin list --name=duplicator (ou duplicator-pro).