CVE-2026-18438 : Templately et le risque d'exécution de code à distance sur WordPress
Templately est souvent choisi pour accélérer la création de pages avec Elementor ou Gutenberg. C'est justement ce qui rend la CVE-2026-18438 inquiétante : quand une extension de bibliothèque de templates devient un point d'entrée, c'est tout le confort de construction du site qui peut se retourner contre lui.
La faille décrite en août 2026 concerne une exécution de code à distance via la fonction fetch_remote_file. Le point important à retenir, même si vous ne lisez pas le code, est le suivant : la vérification du type de fichier et la destination finale ne reposent pas sur la même information. Un attaquant peut donc exploiter cette incohérence pour faire accepter un fichier qui n'aurait jamais dû être traité.
Qui est concerné ?
Sont concernées les versions de Templately jusqu à 3.7.1 incluse.
Pourquoi il ne faut pas banaliser ce type d'alerte
Dans l'écosystème WordPress, les failles les plus rentables pour un attaquant sont souvent celles qui touchent les fonctions pratiques : formulaires, uploads, paiements, SSO, constructeurs de pages, imports, emails transactionnels. Ce sont aussi les briques qui servent tous les jours à l'entreprise. C'est justement pour cela qu'elles doivent être surveillées avec sérieux.
Reporter la correction en se disant je le ferai plus tard laisse une fenêtre ouverte. Or cette fenêtre peut durer plus longtemps que prévu si personne ne surveille les versions, les logs et l'état réel du site.
Que faire tout de suite
- mettre à jour Templately sans attendre si l'extension est active ;
- vérifier si des imports de templates ou de contenus distants ont été réalisés récemment ;
- contrôler les comptes administrateurs et éditeurs ayant accès aux outils de construction ;
- auditer les fichiers présents dans les répertoires d'uploads et les logs d'accès ;
- restreindre les extensions inutiles liées à l'import de contenu externe.
Le point souvent oublié : maintenance, sauvegarde et hébergement
Une faille de ce type rappelle qu'un plugin de confort peut devenir un plugin critique. Plus un outil touche aux imports, aux téléchargements et aux automatisations de contenu, plus il mérite un suivi strict. Ce n'est pas du pessimisme, c'est de l'hygiène technique.
Si votre site est critique pour générer des demandes, des ventes ou des rendez-vous, le sujet n'est donc pas seulement avoir un plugin à jour. Le sujet est d'avoir une chaîne complète : surveillance, sauvegarde, mise à jour, vérification et possibilité de revenir vite en arrière si besoin.
Besoin d'un coup de main ?
Si vous utilisez un empilement WordPress + Elementor + plugins d'import et que vous voulez une maintenance plus sereine, je peux prendre en charge le contrôle des extensions, les sauvegardes et l'hébergement géré. Echo Dev propose justement ce type d accompagnement WordPress et support technique. Pour en parler, passez par la page contact.