| Nom du plugin | ACF Étendu |
|---|---|
| Type de vulnérabilité | L'escalade de privilèges |
| Numéro CVE | CVE-2026-8809 |
| Urgence | Haut |
| Date de publication du CVE | 2026-06-01 |
| URL source | CVE-2026-8809 |
Urgent : Élévation de privilèges dans ACF Étendu (≤ 0.9.2.5) — Ce que les propriétaires de sites WordPress doivent faire maintenant
Auteur: Équipe de sécurité WP-Firewall
Date: 2026-06-01
Résumé
- Gravité : Élevée (CVSS 9.8)
- Affecté : versions du plugin ACF Étendu ≤ 0.9.2.5
- Corrigé dans : 0.9.2.6
- CVE : CVE-2026-8809
- Privilège requis pour exploiter : Non authentifié
- Cartographie OWASP : A7 — Échecs d'identification et d'authentification
Cet article est rédigé du point de vue de l'équipe d'ingénierie de sécurité WP‑Firewall. Notre objectif est d'expliquer ce que signifie cette vulnérabilité, à quel point elle est dangereuse en termes réels, et de donner des étapes claires et prioritaires que vous pouvez suivre pour protéger vos sites WordPress — immédiatement et à long terme.
Si votre site utilise ACF Étendu et que le plugin est à la version 0.9.2.5 ou antérieure, considérez cela comme critique et agissez maintenant.
Pourquoi cette vulnérabilité est-elle si dangereuse
Une vulnérabilité qui permet à un acteur non authentifié d'élever des privilèges est l'un des types de défauts les plus préoccupants que nous pouvons voir dans les plugins WordPress :
- “ Non authentifié ” signifie qu'un attaquant n'a pas besoin d'un compte ou d'une connexion valide ; il peut appeler une requête web depuis n'importe où sur Internet.
- “ Élévation de privilèges ” implique qu'il peut prendre un contexte à faible privilège — ou aucun contexte du tout — et l'élever à une capacité administrative (ou au moins à un rôle qui lui permet d'effectuer des actions à fort impact).
- Lorsque les deux conditions sont présentes, l'attaquant peut créer des utilisateurs administrateurs, détourner du contenu, installer des portes dérobées, insérer du JavaScript ou du PHP malveillant, exfiltrer des données ou pivoter vers d'autres sites sur le même serveur.
Avec un CVSS de 9.8, ce défaut est classé près de critique. Ces types de vulnérabilités sont souvent armés pour des campagnes d'exploitation de masse. Les petits sites avec un trafic minimal sont tout aussi susceptibles d'être ciblés que les grands, car des outils automatisés scannent et attaquent sans discernement.
Ce que la vulnérabilité affecte (court, technique)
- Logiciel : Advanced Custom Fields : Étendu (ACF Étendu)
- Versions vulnérables : ≤ 0.9.2.5
- Corrigé dans : 0.9.2.6
- CVE : CVE-2026-8809
Bien que le détail exact de l'implémentation puisse varier, le problème central signalé est qu'une requête non authentifiée peut atteindre des chemins de code qui étaient destinés uniquement à des contextes authentifiés et à privilèges élevés (par exemple, des opérations AJAX/REST administratives ou des API internes). Cela peut permettre à l'attaquant d'effectuer des actions qui changent les rôles des utilisateurs, créent des utilisateurs privilégiés ou modifient la configuration du site.
Liste de contrôle d'action immédiate et priorisée (que faire dès maintenant)
Si vous gérez des sites WordPress, suivez cette liste de contrôle dans l'ordre. Faites les trois premiers éléments immédiatement — ce sont les étapes ayant le plus grand impact et les plus rapides à mettre en œuvre.
- Mettez à jour ACF Extended vers la version corrigée (0.9.2.6) maintenant
- WP admin : Plugins → Plugins installés → Mettre à jour ACF Extended
- WP‑CLI :
wp plugin mettre à jour acf-extended --version=0.9.2.6 - Si une mise à jour automatique est disponible, appliquez-la sur tous les sites dès que possible.
- Si vous ne pouvez pas mettre à jour immédiatement, désactivez temporairement ou supprimez le plugin
- WP admin : Plugins → Plugins installés → Désactiver (ou Supprimer si vous avez une alternative)
- WP‑CLI :
wp plugin désactiver acf-extended - Désactiver le plugin ferme immédiatement la surface d'attaque jusqu'à ce que vous puissiez mettre à jour.
- Activez un pare-feu d'application Web géré (WAF) ou un patch virtuel
- Configurez des règles pour bloquer les requêtes non authentifiées qui ciblent les points de terminaison ACF Extended ou toute action de niveau administratif exécutée par des utilisateurs non authentifiés.
- Utilisez également des protections génériques : bloquez les charges utiles suspectes, limitez le taux des requêtes POST, appliquez la réputation IP et la mitigation des bots.
- Faites tourner les identifiants : réinitialisez les mots de passe administratifs et réinitialisez toutes les clés API
- Forcez une réinitialisation de mot de passe pour tous les comptes administrateurs (ou au minimum pour tous les comptes qui étaient actifs récemment).
- Si votre site utilise des clés API ou des jetons externes, faites tourner ceux qui peuvent avoir des capacités administratives effectives.
- Scannez à la recherche de compromissions et de changements suspects
- Effectuez un scan complet de malware et comparez les fichiers du site à une base de référence propre.
- Inspectez les comptes utilisateurs pour des utilisateurs administrateurs inattendus.
- Recherchez de nouveaux fichiers PHP dans wp-content, wp-content/uploads et d'autres répertoires accessibles en écriture.
- Vérifiez les journaux et les indicateurs d'analyse (voir la section de détection ci-dessous)
- Recherchez des requêtes HTTP qui correspondent aux points de terminaison des plugins ou des requêtes POST/GET inhabituelles autour du moment où vous pensez que l'exploitation a pu se produire.
- Restaurez à partir de sauvegardes propres si vous trouvez une compromission
- Si un site montre des signes clairs d'intrusion (nouveaux comptes administrateurs, portes dérobées, PHP obfusqué dans les uploads), restaurez à partir d'une sauvegarde effectuée avant la compromission, puis mettez tout à jour et renforcez la sécurité.
Détection — signes que votre site pourrait déjà être compromis
Si vous traitez plusieurs sites ou faites une réponse à un incident, recherchez ces indicateurs :
- Nouveaux comptes administrateurs ou comptes modifiés
- Requête SQL :
SELECT ID, user_login, user_email, user_registered FROM wp_users WHERE user_registered >= '2026-05-??'; - Vérifier les capacités de l'utilisateur :
SELECT user_id, meta_value FROM wp_usermeta WHERE meta_key LIKE 'pabilities%' AND meta_value LIKE 'ministrator%';
- Requête SQL :
- Changements inexpliqués dans les options du site
- options_wp changements de table à
site_url,accueil,plugins_actifs, ou d'autres options de configuration critiques.
- options_wp changements de table à
- Tâches planifiées inattendues (wp_cron) ou nouvelles entrées de base de données
- Vérifier options_wp pour les entrées cron (
option_name = 'cron') qui appellent des hooks inconnus ou des URL externes.
- Vérifier options_wp pour les entrées cron (
- Nouveaux fichiers dans les répertoires uploads ou plugins
- Vérifiez les horodatages :
find wp-content/uploads -type f -mtime -N(où N est le nombre de jours depuis la dernière mise à jour). - Recherchez des fichiers PHP dans le répertoire des téléchargements — un signal d'alerte immédiat.
- Vérifiez les horodatages :
- Connexions réseau sortantes depuis PHP
- Les webshells et les portes dérobées tentent souvent des connexions sortantes, des recherches DNS ou des POST vers des serveurs d'attaquants.
- Activité admin inhabituelle dans les journaux
- Appels REST ou AJAX de niveau admin depuis des IP sans cookie authentifié ou chaînes d'agent utilisateur suspectes.
- Pics anormaux dans le trafic POST ou comportement de scan
- Les tentatives d'exploitation automatisées en masse montrent souvent des POST répétés avec des charges utiles similaires provenant de nombreuses IP.
Si vous trouvez l'un des éléments ci-dessus, considérez le site comme potentiellement compromis et suivez les étapes de remédiation (isoler, préserver les journaux, restaurer à partir d'une sauvegarde propre).
Vérifications judiciaires recommandées — requêtes et commandes exactes
- Liste des versions du plugin :
- WP‑CLI :
wp plugin list --format=csv
- WP‑CLI :
- Vérifiez les utilisateurs actifs qui sont des administrateurs :
- WP‑CLI :
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
- WP‑CLI :
- Vérifiez les utilisateurs récemment enregistrés :
- WP‑CLI :
wp user list --role=subscriber --format=csv --registered_after="il y a 7 jours"
- WP‑CLI :
- Trouver des fichiers PHP suspects dans les uploads :
- SSH :
find wp-content/uploads -type f -iname "*.php" -print
- SSH :
- Vérifiez les heures de modification des fichiers pour les répertoires de plugins :
- SSH :
trouver wp-content/plugins/acf-extended -type f -printf "%TY-%Tm-%Td %TH:%TM %p
" | trier -r
- SSH :
Conservez une copie des journaux pertinents (journaux d'accès au serveur web, journaux d'erreurs PHP, journaux de base de données) avant de faire des modifications.
Comment atténuer si vous ne pouvez pas mettre à jour immédiatement (patching virtuel / règles de pare-feu)
Si la mise à jour immédiate du plugin est impossible en raison de problèmes de compatibilité ou de fenêtres de maintenance, appliquez des atténuations temporaires. Ce sont des règles WAF/edge génériques et pratiques et des étapes de durcissement que vous pouvez appliquer.
- Bloquez ou limitez l'accès non authentifié aux points de terminaison des plugins
- Si le plugin expose des points de terminaison REST ou des hooks d'action AJAX admin, bloquez les requêtes vers ces points de terminaison à moins qu'elles n'aient des cookies valides ou des en-têtes d'authentification.
- Exemple : Autorisez uniquement les requêtes POST à
/wp-json/*ou/wp-admin/admin-ajax.phpqui incluent un cookie valide de connexion WordPress.
- Restreindre l'accès par IP (lorsque cela est faisable)
- Si les opérations administratives proviennent d'une plage IP connue, restreindre l'accès uniquement à ces IP pour les URL administratives.
- Appliquer une validation des entrées plus stricte
- Bloquer les requêtes avec des modèles de charge utile associés aux changements de privilèges, par exemple, des paramètres contenant
role=administrateur,ajouter_utilisateur,créer_utilisateur,mot_de_passe_utilisateur, ou des chaînes base64/obfusquées suspectes.
- Bloquer les requêtes avec des modèles de charge utile associés aux changements de privilèges, par exemple, des paramètres contenant
- Refuser les méthodes HTTP dangereuses et les agents utilisateurs suspects
- Bloquer ou limiter le taux des agents utilisateurs inconnus et de tous les verbes HTTP peu courants pour les points de terminaison non destinés à les accepter.
- Appliquer des règles de patch virtuel dans votre WAF
- Modèles de règles génériques :
- Bloquer les POST vers des points de terminaison qui appellent des actions administratives sans nécessiter d'authentification.
- Bloquer les requêtes qui tentent de définir des capacités utilisateur via des paramètres de requête ou de POST.
- Bloquer les requêtes vers des fichiers spécifiques aux plugins qui ne sont normalement exécutés que dans des contextes administratifs.
- Modèles de règles génériques :
- Protéger l'administration WordPress et les points de terminaison d'authentification
- Exiger un CAPTCHA sur les formulaires de connexion et les points de terminaison REST critiques.
- Limiter le taux des tentatives de connexion et des appels API REST pour les utilisateurs non authentifiés.
- Utiliser des règles au niveau du serveur web
- Ajouter des règles .htaccess/nginx à court terme pour refuser l'accès aux répertoires de plugins pour les requêtes non authentifiées lorsque cela est possible.
Rappelez-vous : le patch virtuel est une mesure temporaire. Il réduit le risque jusqu'à ce que vous puissiez mettre à jour vers la version corrigée du plugin. Ce n'est pas un substitut à la mise à jour et à la validation du code du plugin ou à la restauration à partir d'une sauvegarde propre après un compromis.
Exemples pratiques de règles WAF (modèles conceptuels que vous pouvez mettre en œuvre)
Ci-dessous se trouvent des modèles de règles ; la syntaxe exacte dépend de votre pare-feu ou serveur. Ne pas appliquer aveuglément sans test.
- Règle : Bloquer les actions administratives non authentifiées
- Condition:
- Le chemin de la requête contient
/wp-admin/OU/wp-json/OU/admin-ajax.php - ET le cookie ne contient pas
wordpress_connecté_ - ET le corps de la requête ou la requête contient des paramètres tels que
rôle_utilisateur,rôle,ajouter_utilisateur,créer_utilisateur,mettre_à_jour_utilisateur,wp_capabilities
- Le chemin de la requête contient
- Action: Bloquer (403) ou Défi (CAPTCHA/JS)
- Condition:
- Règle : Limiter le taux des POST vers les points de terminaison liés au plugin
- Condition:
- Le chemin contient
acf-étenduOUacf(soyez prudent avec l'acf générique) - ET Non authentifié
- Le chemin contient
- Action: Limiter à un très faible nombre de requêtes par minute par IP ; défier ou bloquer en cas de dépassement.
- Condition:
- Règle : Bloquer les charges utiles suspectes
- Condition:
- Le corps de la requête contient des chaînes base64 plus longues que X avec des noms de fonctions PHP (
évaluer,système,passage) ou des motifs suspects
- Le corps de la requête contient des chaînes base64 plus longues que X avec des noms de fonctions PHP (
- Action: Bloquer et enregistrer
- Condition:
- Règle : Interdire PHP dans les téléchargements
- Condition: Le chemin de la requête correspond
wp-content/uploads/*.php - Action: 403
- Condition: Le chemin de la requête correspond
Si vous utilisez un service WAF géré, demandez à votre fournisseur de pousser un correctif virtuel spécifique aux modèles d'exploitation ACF Extended et de surveiller les indicateurs.
Liste de contrôle post-incident (si vous détectez des indicateurs de compromission)
Si les journaux, les analyses ou l'inspection manuelle montrent des signes de compromission, suivez les étapes suivantes dans l'ordre :
- Isolez le site affecté
- Mettez le site en mode maintenance ou déconnectez-le temporairement pour empêcher d'autres actions de l'attaquant.
- Conservez les journaux et les preuves
- Sauvegardez les journaux du serveur web (accès et erreurs), les journaux PHP et les sauvegardes de la base de données pour un examen judiciaire.
- Supprimez la source de la vulnérabilité
- Appliquez immédiatement le correctif ACF Extended à 0.9.2.6 ou supérieur, ou désactivez/supprimez le plugin vulnérable.
- Identifiez et supprimez les portes dérobées
- Recherchez des fichiers PHP inconnus, du code obfusqué ou des tâches planifiées. Supprimez ou nettoyez les fichiers validés comme malveillants.
- Réinitialiser les identifiants et les secrets
- Réinitialisez les mots de passe pour tous les utilisateurs administrateurs.
- Faites tourner les clés API, les identifiants de base de données et d'autres secrets utilisés par l'application.
- Restaurez à partir d'une sauvegarde connue et propre si nécessaire
- Si l'attaquant a persisté ou injecté des fichiers dans le code source, restaurez à partir d'un instantané réalisé avant la compromission.
- Rescannez et surveillez
- Effectuez une analyse complète des logiciels malveillants et de l'intégrité. Continuez la surveillance renforcée (journalisation accrue, surveillance externe) pendant au moins 30 jours.
- Faites une analyse des causes profondes
- Déterminez comment l'attaquant a exploité le site (par exemple, point de terminaison de plugin invoqué, vérifications de capacité manquantes) et documentez les étapes pour la prévention.
- Faites un rapport aux parties prenantes
- Informez les propriétaires de sites, la direction ou les utilisateurs affectés le cas échéant et respectez toutes les exigences de divulgation ou de conformité pertinentes.
Liste de contrôle de durcissement pour réduire les risques similaires à l'avenir
Rendre un site résilient nécessite des contrôles en couches. Voici ce que nous recommandons pour tous les sites WordPress :
- Gardez le cœur de WordPress, les thèmes et les plugins à jour selon un calendrier géré.
- Évitez les plugins et thèmes inutilisés. Supprimez-les plutôt que de les laisser désactivés.
- Utilisez un modèle de moindre privilège pour les comptes. Les comptes administrateurs doivent être minimaux et utilisés uniquement lorsque nécessaire.
- Activez l'authentification à deux facteurs (2FA) pour tous les comptes administrateurs.
- Limitez strictement les écritures de fichiers pour PHP lorsque cela est possible (par exemple, interdire les modifications de fichiers dans le tableau de bord :
définir('DISALLOW_FILE_EDIT', vrai);). - Exécutez un WAF géré et un scan de malware programmé avec des capacités de patch virtuel.
- Effectuez des sauvegardes régulières et testez les procédures de restauration.
- Utilisez des en-têtes de sécurité (Content‑Security‑Policy, X‑Frame‑Options, Referrer‑Policy) et HSTS pour HTTPS.
- Surveillez les journaux et configurez des alertes pour les événements suspects (nouveau compte admin, téléchargements de fichiers soudains, grandes demandes sortantes).
- Utilisez un environnement de staging/test pour évaluer les mises à jour des plugins avant de les déployer en production.
Questions techniques — questions courantes que notre équipe de support reçoit
Q : “Si je mets à jour vers 0.9.2.6, dois-je encore chercher des compromissions ?”
UN: Oui. Si votre site était accessible avant le patch, il pourrait avoir été attaqué. Mettez d'abord à jour pour fermer la vulnérabilité, puis effectuez les vérifications dans les sections de détection et d'analyse judiciaire. Si vous voyez des indicateurs (nouveaux comptes admin, fichiers modifiés), suivez la liste de contrôle de réponse aux incidents.
Q : “Puis-je compter uniquement sur un patch virtuel ?”
UN: Le patch virtuel (règles WAF) est une atténuation puissante et peut bloquer rapidement les modèles d'attaque connus. Cependant, c'est temporaire. La bonne solution à long terme est de mettre à jour le plugin et de valider l'intégrité du site.
Q : “Que faire si mon site utilise un réseau multisite ?”
UN: Traitez le multisite avec une attention particulière. Une élévation de privilèges non authentifiée sur un site pourrait avoir des conséquences au niveau du réseau. Mettez d'abord à jour les instances de plugins activés par le réseau et auditez tous les sous-sites.
Q : “Y a-t-il un moyen sûr de continuer à utiliser l'ancien code du plugin ?”
UN: Le seul moyen sûr est de corriger le code vulnérable. Si vous devez exécuter temporairement l'ancienne version, restreignez strictement l'accès, isolez le site et surveillez de manière agressive jusqu'à ce que vous puissiez mettre à jour.
Exemple : commandes rapides pour effectuer un triage (copier/coller amical)
- Vérifier la version du plugin :
wp plugin list | grep acf-extended - Mise à jour du plugin :
wp plugin mettre à jour acf-extended --version=0.9.2.6 - Désactiver le plugin :
wp plugin désactiver acf-extended - Lister les utilisateurs administrateurs :
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered - Trouver des fichiers PHP dans les téléchargements :
find wp-content/uploads -type f -iname "*.php" -print - Exportez les utilisateurs récemment enregistrés (derniers 14 jours) :
wp user list --format=csv --registered_after="$(date -d '14 jours auparavant' +%F)"
Exécutez toujours ces commandes depuis un shell admin de confiance et conservez la sortie pour enquête.
Intégrer WP‑Firewall pour protéger vos sites (court, pratique)
Nous avons créé WP‑Firewall pour aider les propriétaires de sites à réagir exactement à des événements comme celui-ci. Notre plan de base gratuit comprend un pare-feu (WAF) géré et soigneusement sélectionné, une protection contre la bande passante illimitée, un scanner de logiciels malveillants et une atténuation automatisée des risques OWASP Top 10 — suffisamment pour bloquer de nombreuses tentatives d'exploitation pendant que vous appliquez des mises à jour et effectuez vos vérifications judiciaires.
Si vous avez besoin de plus d'automatisation et d'options de remédiation, nos plans payants ajoutent la suppression automatique de logiciels malveillants, des contrôles de liste noire/liste blanche IP, des rapports de sécurité mensuels et un patching virtuel automatique complet. Cela signifie que même si vous ne pouvez pas appliquer une mise à jour de plugin immédiatement, WP‑Firewall peut neutraliser les vecteurs d'exploitation les plus courants jusqu'à ce que vous le fassiez.
Nouveau : Protection gratuite immédiate pour votre site
Titre: Obtenez une protection WAF gérée gratuite en quelques minutes
Si vous souhaitez une couverture rapide et sans coût pendant que vous appliquez des correctifs, inscrivez-vous au plan WP‑Firewall Basic (gratuit) aujourd'hui. Il fournit des règles de pare-feu gérées, un scan continu et une atténuation automatisée afin que vous puissiez fermer la fenêtre d'exposition pendant que vous mettez à jour ou enquêtez. Activez-le maintenant : https://my.wp-firewall.com/buy/wp-firewall-free-plan/
(Notre plan gratuit est conçu pour être peu contraignant : il s'installe rapidement et commence à bloquer le trafic d'exploitation courant immédiatement. Si vous préférez une automatisation et une réponse améliorées, nos niveaux Standard et Pro offrent des options supplémentaires de suppression, de contrôles IP, de patching virtuel et de reporting.)
Pourquoi un pare-feu géré + un patching rapide est la bonne stratégie
- Fenêtres de jour zéro : Les vulnérabilités nouvellement publiées sont les plus dangereuses avant que les propriétaires de sites puissent les corriger. Un WAF géré fournit une couche de défense pendant que vous mettez à jour.
- Exploitation de masse : Les attaquants lancent des campagnes automatisées. Le site moyen est ciblé rapidement après la divulgation publique — même les sites à faible trafic.
- Défense en profondeur : Un WAF ne supprime pas la nécessité de patcher, mais il réduit considérablement le risque pendant la fenêtre de patch et couvre d'autres types d'attaques non liées (SQLi, XSS, abus de téléchargement de fichiers).
- Support de triage rapide : Combiner le blocage automatisé avec le scan et le reporting vous permet de prioriser les sites susceptibles d'être compromis.
Résilience à long terme : processus que nous recommandons pour les agences et les hébergeurs
Si vous gérez plusieurs sites WordPress (agence, hébergeur ou entreprise), adoptez ces pratiques :
- Gestion et reporting centralisés des correctifs
- Maintenez un inventaire des versions de plugins sur les sites clients et planifiez les mises à jour de manière centralisée.
- Déploiements par étapes
- Testez les mises à jour des plugins en mise en scène avant la production.
- Patching virtuel automatisé.
- Automatisez les règles WAF à appliquer pour les CVE à haut risque jusqu'à ce que les correctifs au niveau du code soient déployés.
- Manuels d'incidents
- Standardisez les étapes de triage et de récupération, afin que votre équipe réagisse de manière cohérente et rapide.
- Modèles de communication avec les clients
- Les avis pré-approuvés pour les clients et les parties prenantes aident à une communication rapide et transparente après la divulgation des vulnérabilités.
WP‑Firewall fournit des outils pour soutenir bon nombre de ces pratiques ; si vous gérez de nombreux sites, standardisez les mises à jour et les protections pour réduire vos frais d'exploitation et vos risques.
Réflexions finales des ingénieurs de WP‑Firewall
Cette vulnérabilité est un rappel fort de deux vérités :
- Les écosystèmes WordPress évoluent rapidement et sont complexes — les plugins offrent une fonctionnalité incroyable, mais un mauvais contrôle d'accès ou des vérifications manquantes peuvent avoir des conséquences catastrophiques.
- La rapidité compte. Plus vous appliquez rapidement un correctif technique (mise à jour ou désactivation), plus votre fenêtre d'exposition est petite et moins il est probable qu'une campagne automatisée réussisse.
Si vous utilisez ACF Extended, mettez à jour vers 0.9.2.6 immédiatement. Si vous ne pouvez pas, mettez le plugin en mode maintenance, activez les correctifs virtuels WAF et effectuez la liste de contrôle de détection. Si vous soupçonnez un compromis, priorisez l'isolement, la préservation des preuves, la rotation des identifiants et une restauration à partir d'une sauvegarde de confiance.
Nous avons construit WP‑Firewall pour aider les propriétaires de sites à réduire la panique et à diminuer les risques : des règles WAF gérées, des analyses et une atténuation rapide vous permettent de vous concentrer sur la récupération pendant que nous aidons à protéger l'accès.
Restez en sécurité, agissez rapidement et contactez votre fournisseur de sécurité ou votre équipe de support si vous avez besoin d'aide.
— Équipe de sécurité WP-Firewall
Références et lectures complémentaires
- Avis : CVE-2026-8809 — Élévation de privilèges ACF Extended (corrigée dans 0.9.2.6)
- Guides de durcissement de WordPress et de réponse aux incidents
- Meilleures pratiques pour le patching virtuel WAF et la limitation de débit
(Si vous avez besoin d'un plan de remédiation sur mesure pour votre site ou d'un audit rapide de votre inventaire de plugins, notre équipe peut vous aider.)
