CVE-2026-65640 : le risque RCE WordPress lié à Imagick et Ghostscript expliqué simplement
Le 12 août 2026, WordPress 7.0.4 a corrigé une faille de sécurité importante référencée CVE-2026-65640. Le sujet est technique, mais les conséquences sont faciles à comprendre : dans certaines configurations, un utilisateur capable d'envoyer des fichiers pouvait déposer un document malveillant et ouvrir la voie à une exécution de code à distance.
Ici, le danger ne vient pas seulement de WordPress. Il dépend aussi de la présence d'Imagick et de Ghostscript sur le serveur. C'est un excellent exemple de faille hybride : le CMS, la bibliothèque de traitement d'images et la configuration serveur se combinent pour créer le risque.
Qui est concerné ?
Cette faille concerne les installations où des auteurs ou des rôles supérieurs peuvent téléverser des médias, avec Imagick et Ghostscript actifs sur l'hébergement.
Pourquoi il ne faut pas banaliser ce type d'alerte
Dans l'écosystème WordPress, les failles les plus rentables pour un attaquant sont souvent celles qui touchent les fonctions pratiques : formulaires, uploads, paiements, SSO, constructeurs de pages, imports, emails transactionnels. Ce sont aussi les briques qui servent tous les jours à l'entreprise. C'est justement pour cela qu'elles doivent être surveillées avec sérieux.
Reporter la correction en se disant je le ferai plus tard laisse une fenêtre ouverte. Or cette fenêtre peut durer plus longtemps que prévu si personne ne surveille les versions, les logs et l'état réel du site.
Que faire tout de suite
- vérifier la version du cœur WordPress et appliquer au minimum 7.0.4 sur la branche 7.0 ;
- examiner les rôles utilisateurs autorisés à téléverser des médias ;
- contrôler les derniers fichiers mis en ligne dans la bibliothèque ;
- surveiller les journaux serveur pour détecter un comportement anormal sur le traitement d'images ;
- vérifier que les outils serveur inutiles ou trop permissifs ne sont pas exposés sans raison.
Le point souvent oublié : maintenance, sauvegarde et hébergement
Quand une faille dépend de la pile serveur, un simple plugin de sécurité ne suffit pas. Il faut connaître l'hébergement, les modules installés, les permissions et le comportement réel des conversions d'images. C'est là qu'un hébergement géré fait la différence : on ne se contente pas de cliquer sur Mettre à jour, on valide aussi l'environnement technique.
Si votre site est critique pour générer des demandes, des ventes ou des rendez-vous, le sujet n'est donc pas seulement avoir un plugin à jour. Le sujet est d'avoir une chaîne complète : surveillance, sauvegarde, mise à jour, vérification et possibilité de revenir vite en arrière si besoin.
Besoin d'un coup de main ?
Si vous avez un site WordPress multi-auteurs, un blog éditorial ou une équipe qui publie souvent du contenu, je peux vérifier votre configuration, vos droits utilisateurs, vos sauvegardes et votre politique de maintenance. Echo Dev peut aussi prendre en charge l hébergement géré et le support WordPress pour éviter ce type de mauvaise surprise. Un message via la page contact suffit pour lancer un contrôle.