Faille critique Elementor Pro : quand le formulaire de contact de votre site WordPress devient une porte d'entrée

S'il y a un élément de votre site web que personne ne considère comme un risque, c'est le formulaire de contact. Il est là depuis la création du site, il « marche », et personne n'y a retouché depuis que l'agence a livré. Depuis le 19 août 2026, on sait qu'il pouvait, sur un grand nombre de sites WordPress, servir à tout autre chose : déposer un fichier piégé sur le serveur et le faire exécuter, sans compte, sans mot de passe et sans la moindre action de votre part. La faille, référencée CVE-2026-32475 et notée 9,0 sur 10 sur l'échelle de sévérité CVSS, touche Elementor Pro — l'extension payante du constructeur de pages le plus répandu de l'écosystème WordPress. Le correctif existe. Le reste dépend de vous, ou de votre prestataire.

Ce qui s'est passé

Elementor est le constructeur de pages le plus utilisé sur WordPress : plus de dix millions de sites actifs pour sa seule version gratuite. Une grande partie des sites vitrines de PME livrés par des agences ces dernières années reposent dessus. Sa version payante, Elementor Pro, ajoute notamment le module « Formulaire », celui qui fabrique les formulaires de contact, de devis ou de candidature — avec, si on le souhaite, un champ « Joindre un fichier ».

Le 19 août 2026, Elementor a publié la version 4.2.2 de Pro, et la société de sécurité Patchstack a rendu public le détail de la faille, découverte par le chercheur Tin Pham (TF1T) dans le cadre de son programme de chasse aux vulnérabilités. Le principe, débarrassé de son jargon : quand un visiteur envoie un fichier via le formulaire, l'extension vérifie d'abord que son extension n'est pas dangereuse (pas de .php, de .exe, etc.), puis, dans une seconde étape, déplace le fichier dans le dossier de téléversement du site. Les deux étapes ne réagissent pas de la même façon à un envoi « vide » : la vérification s'arrête net au premier fichier vide, tandis que le déplacement se contente de l'ignorer et continue. Il suffit donc d'envoyer, pour le même champ, un fichier vide suivi d'un fichier .php : le premier coupe la vérification, le second est déposé tel quel, sans avoir été examiné, dans un dossier accessible depuis Internet.

Reste à l'attaquant à trouver le nom du fichier déposé, que l'extension renomme à la volée. Ce nom n'est pas aléatoire : il est construit à partir de l'heure du serveur, que le serveur lui-même communique dans chacune de ses réponses. Et il existe une voie encore plus directe : de nombreux formulaires envoient au visiteur un accusé de réception reprenant l'ensemble des champs saisis — pièces jointes comprises, sous forme de lien. L'attaquant renseigne alors sa propre adresse e-mail et reçoit l'adresse exacte de son fichier par retour de courrier. Il ne lui reste qu'à l'ouvrir dans son navigateur pour que le serveur exécute son code. Aucun compte, aucun mot de passe, aucun jeton de sécurité : toutes les informations nécessaires figurent dans le code source public de la page qui héberge le formulaire.

C'est ce qu'on appelle une exécution de code à distance : la catégorie de faille la plus grave, celle qui transforme un site web en point d'entrée sur le serveur qui l'héberge — nous en parlions déjà cet été à propos de wp2shell et de Gitea. Une fois son code exécuté, l'attaquant lit la configuration de WordPress, donc les identifiants de la base de données et, souvent, ceux du serveur d'envoi d'e-mails ; il installe une porte dérobée qui survivra à la mise à jour ; et il dispose d'un serveur propre, sous votre nom de domaine, pour héberger du phishing ou rebondir ailleurs.

Qui est concerné ?

Trois conditions doivent être réunies, et elles le sont sur un très grand nombre de sites vitrines :

• Elementor Pro en version 4.2.1 ou antérieure. La version gratuite d'Elementor, seule, n'embarque pas le module Formulaire : elle n'est pas concernée par cette faille-ci.
• Une page publiée contenant un formulaire Elementor avec un champ d'envoi de fichier — « Joindre un fichier », « Déposer votre CV », « Ajouter votre plan », etc.
• Selon le communiqué d'Elementor, relayé par BleepingComputer, seuls les champs sur lesquels l'option « fichiers multiples » est activée (elle est désactivée par défaut) seraient exposés. L'analyse technique de Patchstack ne fait pas cette distinction et ne retient qu'une condition : un champ d'envoi de fichier sur une page publiée. Dans le doute, considérez tout formulaire acceptant une pièce jointe comme exposé.

Au moment de la publication de l'avis, aucune exploitation n'avait été constatée sur Internet. Cette phrase n'est rassurante que quelques jours : le détail technique est public, l'attaque est simple à automatiser, et les campagnes de balayage suivent généralement la divulgation de très près — pour wp2shell, quatre jours ont séparé la publication du constat d'exploitation massive. La fenêtre d'exposition, elle, est déjà connue : d'après la chronologie publiée par Patchstack, la faille a été signalée à l'éditeur le 16 juillet, le correctif était prêt le 17, et il n'a été livré aux sites que le 19 août. Plus d'un mois pendant lequel l'éditeur disposait d'un correctif que ses clients n'avaient pas.

Les trois gestes à poser cette semaine

1. Savoir si vous avez Elementor Pro, en quelle version, et qui le met à jour. Dans l'administration WordPress, menu « Extensions » : si « Elementor Pro » y figure en version inférieure à 4.2.2, mettez-le à jour sans attendre — c'est une mise à jour mineure, sans risque particulier de casse. Si un champ « Joindre un fichier » ne sert à rien dans vos formulaires, supprimez-le par la même occasion. Si vous n'avez pas cet accès, c'est le moment de le demander à votre agence, et de poser une question qu'on oublie toujours : à qui appartient la licence ? Elementor Pro est payant, et ses mises à jour ne sont livrées qu'aux sites dont la licence est active. Sur beaucoup de sites de PME, la licence est celle de l'agence qui a livré le site. Si elle a expiré, ou si l'agence n'existe plus, votre site n'a tout simplement pas reçu la 4.2.2 — et ne recevra pas les suivantes.
2. Vérifier que personne n'est déjà passé. La mise à jour ferme la porte ; elle ne fait pas sortir ceux qui sont entrés, et Patchstack le dit explicitement : elle ne supprime pas les fichiers déposés pendant la période d'exposition. Faites examiner le dossier wp-content/uploads/elementor/forms/ : il ne doit contenir que des pièces jointes légitimes (PDF, images, documents). Tout fichier .php, ou tout fichier dont l'extension n'a rien à faire là, signe une compromission. Complétez par les contrôles habituels : comptes administrateurs inconnus, fichiers modifiés récemment, soumissions anormales dans l'historique des formulaires d'Elementor. Si quelque chose est trouvé, la réponse n'est pas de supprimer le fichier et de passer à autre chose : il faut restaurer une sauvegarde dont on est certain qu'elle est saine, mettre à jour, puis changer tous les secrets que le serveur connaissait — mots de passe de la base de données, de l'hébergement, du serveur de messagerie et des comptes WordPress.
3. Faire en sorte que la prochaine faille de ce type soit sans effet. Ce qui a transformé un simple dépôt de fichier en prise de contrôle du serveur, c'est que le dossier de téléversement accepte d'exécuter du code. Interdire l'exécution de PHP dans wp-content/uploads — quelques lignes de configuration du serveur web, Apache ou Nginx — ne coûte rien, ne gêne aucun usage normal et aurait rendu cette faille inoffensive. C'est un réglage de base que tout hébergeur ou prestataire sérieux devrait appliquer par défaut. Ajoutez-y un pare-feu applicatif (WAF) capable de bloquer les attaques connues pendant les jours qui séparent la publication d'une faille de votre mise à jour, et des mises à jour automatiques activées pour les extensions.

La leçon de fond : ce que vous ne contrôlez pas, et ce que vous contrôlez

Vous ne contrôlez pas le délai de l'éditeur. Plus d'un mois entre un correctif prêt et un correctif livré, c'est long, et vous n'y pouvez rien. Vous ne contrôlez pas davantage la créativité des chercheurs, ni celle des attaquants qui les lisent.

Ce que vous contrôlez tient en trois points. L'inventaire : savoir quels sites vous exposez, avec quelles extensions, sous quelles licences, et qui a la main dessus — un site livré par une agence sur la licence de l'agence est une dépendance fournisseur, au même titre que l'outil de télémaintenance de votre prestataire. La vitesse : le temps entre la publication d'un correctif et son application chez vous, qui devrait se compter en heures, pas en mois. L'architecture : un dossier d'upload qui n'exécute rien, un site qui ne partage ni serveur ni mots de passe avec le reste de votre système d'information — la même logique de cloisonnement que sur votre réseau interne. Avec ces trois points, une faille comme celle-ci reste un incident mineur. Sans eux, elle devient une compromission dont on découvre l'étendue des semaines plus tard.

En conclusion

Si votre site WordPress utilise Elementor Pro et qu'un de ses formulaires accepte des pièces jointes, vérifiez aujourd'hui que la version 4.2.2 est installée, et faites contrôler le dossier d'upload. Si vous ne savez pas répondre à l'une de ces deux questions — quelle version, et qui a la main —, c'est que le site n'a pas de responsable : c'est le vrai chantier, et il est bien plus urgent que la faille du jour.

Vous voulez faire vérifier l'exposition de vos sites, rechercher une éventuelle compromission ou remettre votre présence web sous contrôle — inventaire, licences, mises à jour, durcissement de l'hébergement ? Parlons-en.