Sécurité WordPress : Une Situation Critique Nécessitant une Vigilance Immédiate

108 vulnérabilités découvertes en novembre – 31 restent non corrigées

Le mois de novembre 2025 s’est avéré particulièrement grave pour la sécurité de l’écosystème WordPress. Selon le rapport de vulnérabilités SolidWP du 5 novembre, 108 failles de sécurité ont été découvertes publiquement, dont 77 ont déjà reçu des correctifs. Cependant, 31 vulnérabilités restent sans solution, représentant des risques importants pour les propriétaires de sites qui tardent à mettre à jour.

Les vulnérabilités critiques du mois:

The Events Calendar (800 000+ installations) :

Une injection SQL non authentifiée (CVE-2025-12197, CVSS 9.3) affectant les versions 6.15.1.1 à 6.15.9. Mise à jour vers la version 6.15.10 recommandée immédiatement.

King Addons for Elementor (10 000+ sites) :

Deux vulnérabilités critiques incluant un téléchargement de fichier non authentifié (CVE-2025-6327, CVSS 10.0) et une escalade de privilèges (CVE-2025-6325, CVSS 9.8). Mise à jour vers la version 51.1.37 requise.

Anti-Malware Security and Brute-Force Firewall :

Une lecture de fichier arbitraire (CVE-2025-11705, CVSS 6.8) exposant potentiellement le fichier  wp-config.php  avec les identifiants de base de données. Environ 50 000 sites restent non protégés.

Post SMTP (400 000+ installations) :

Une authentification cassée (CVE-2025-11833) permettant l’accès aux journaux d’emails sensibles avec un score CVSS de 9.8.

WooCommerce (7 000 000+ installations) :

Une vulnérabilité XSS (CVE-2025-49042) corrigée dans la version 10.0.3.

D’autres plugins majeurs affectés incluent LiteSpeed Cache, Polylang, Taskbuilder, RomethemeKit for Elementor et SecuPress Free, démontrant une augmentation notable des vulnérabilités critiques particulièrement dans les extensions Elementor et WooCommerce.

Tendances inquiétantes

Le retard de l’adoption des correctifs reste un problème majeur. Bien que plus de 70% des vulnérabilités aient des correctifs disponibles, de nombreux sites restent obsolètes. Les plugins de sécurité eux-mêmes ne sont pas exempts de risques, comme l’a démontré l’incident de SecuPress permettant aux abonnés d’installer des plugins.

Développements Majeurs et Mises à Jour Importantes

WordPress 6.9 en phase bêta avancée – Sortie prévue le 2 décembre 2025

WordPress 6.9 continue son cycle de développement avec une sortie officielle programmée pour le 2 décembre 2025. Le calendrier actuel prévoit :

• Release Candidate 2 : 18 novembre 2025
• Release Candidate 3 : 25 novembre 2025
• Essai technique et gel du code : 1er décembre 2025
• Lancement officiel : 2 décembre 2025

Caractéristiques clés attendues de WordPress 6.9

• Améliorations de l’éditeur de site : Mode d’édition épuré et gestion de modèles plus intuitive
• Commentaires au niveau des blocs : Permettant une collaboration améliorée au niveau granulaire du contenu
• API Interactivity API et Abilities API : Nouvelles capacités pour les développeurs
• Optimisations de performance : Transitions de page plus rapides et gestion des ressources plus efficace
• Améliorations d’accessibilité et de SEO : Renforcement des standards aux niveaux des endpoints de l’API REST

Gutenberg 22.0 – Synchronisation en temps réel pour les métadonnées

Un Release Candidate 1 de Gutenberg 22.0 a été publié le 29 octobre 2025. Cette version introduit la synchronisation en temps réel des métadonnées de publication, améliorant significativement l’expérience d’édition collaborative avec des métadonnées personnalisées.

WooCommerce :

Changement de calendrier pour éviter Black Friday/Cyber Monday
WooCommerce a annoncé un ajustement stratégique de son calendrier de sortie. La version 10.4 a été repoussée du 24 novembre au 9 décembre 2025, délibérément décalée de deux semaines pour éviter une sortie majeure pendant la période critique de Black Friday/Cyber Monday. Cette décision reflète l’écoute de la communauté des développeurs pour assurer une stabilité maximale pendant la période de forte activité commerciale.

Jetpack 15.2 – Sortie prévue en novembre 2025

Selon le calendrier VIP de WordPress, Jetpack 15.2 devrait être publié en novembre 2025, avec Jetpack 15.3 suivant en décembre 2025 et Jetpack 15.4 en janvier 2026.

Événements Notables de la Communauté WordPress

WordCamps à venir en novembre-décembre 2025

La communauté WordPress continue son agenda intensif :

• WordCamp Valencia : 8 novembre 2025 – WordPress Tech Congress en Espagne
• WordCamp Athens : 8 novembre 2025 – Maroussi, Grèce
• WordCamp Pisa : 21 novembre 2025 – Pise, Italie
• WordCamp Netherlands : 27 novembre 2025 – La Haye, Pays-Bas

En France : Le WordCamp Toulouse 2025 s’est déroulé récemment, confirmant l’engagement de la communauté francophone avec des meetups réguliers comme WordPress Toulouse qui rassemble agences, développeurs et utilisateurs pour des échanges mensuels.

Prochaine présentation majeure : “WordPress en 2025 – L’innovation rencontre le raffinement”

Une présentation de Jonathan Bossenger est prévue pour le 29 novembre 2025 de 10h00 à 12h00, couvrant les jalons majeurs et les mises à jour de l’écosystème WordPress tout au long de 2025, incluant un aperçu de la feuille de route future et des innovations.

Intelligence Artificielle et Outils de Création

L’IA redéfinit le développement WordPress
L’intégration de l’IA dans WordPress franchit un tournant décisif en 2025. Matt Mullenweg a annoncé la formation d’une équipe WordPress AI dédiée, travaillant pour intégrer l’IA directement dans l’infrastructure core de WordPress. Cette initiative dépasse les simples plugins pour offrir une automatisation intelligente et prévisible intégrée au cœur du système.

Plugins IA majeurs dominants le marché

Plugin	Fonction Principale	Prix
eesel Al	Chatbot d’assistance cliente basé sur l’IA	A partir de 239$/mois
Jetpack Al Assistant	Génération de contenu et titres intégrée	Gratuit (20 requêtes), plans payants
GetGenie Al	Génération de contenu optimisée SEO	Gratuit, à partir de 19$
Rank Math SEO	Analyse SEO et contenu assistée par IA	Freemium
Al Engine	Intégration OpenAl/Azure personnalisée	Freemium
Elementor Al	Génération de texte et design dans le builder	S.O.
Divi Al	Génération de texte et images dans Divi	À partir de 18$/mois
Bertha Al	Assistant rédactionnel pour l’éditeur WordPress	Freemium

Tendances en développement de plugins avec IA

Les développeurs utilisent de plus en plus l’IA pour accélérer la création de plugins WordPress. Les modèles IA spécialisés en WordPress (comme CodeWP) produisent un code considérablement meilleur que les modèles généralistes. Cependant, la sécurité reste cruciale – l’IA doit être supervisée pour garantir les patterns de sécurité WordPress (nonce verification, capability checks, data sanitization).

Tendances du Marché et Prévisions

Full-Site Editing devient la norme standard

FSE (Full-Site Editing) n’est plus une fonctionnalité bêta mais le standard définitif en 2025. Les thèmes basés sur des blocs deviennent progressivement la norme, remplaçant les approches traditionnelles. Cette évolution majeure change fondamentalement comment les concepteurs WordPress créent et maintiennent les sites.

Support multilingue natif à l’horizon

Phase 4 de la feuille de route Gutenberg (actuellement en cours) vise à intégrer le support multilingue directement dans l’éditeur Gutenberg. Cela éliminera la dépendance aux plugins de traduction tiers, améliorant la performance, la sécurité et l’expérience utilisateur.

Performance et accessibilité prioritaires

Les mises à jour d’octobre 2025 incluaient des améliorations de Gutenberg 21.6, 21.7 et 21.8 avec mise au point sur les contrôles de visibilité des blocs, l’édition collaborative (Notes) et les optimisations de performance.

Recommandations d’Action Immédiate

Étant donné le volume critique de vulnérabilités en novembre 2025 :

• Procédez à des mises à jour immédiates pour The Events Calendar 6.15.10+, King Addons 51.1.37+, Post SMTP et WooCommerce 10.0.3+ minimum
• Scannez votre site pour détecter les plugins affectés via des services comme WPScan, Patchstack ou Wordfence
• Activez les mises à jour automatiques pour le cœur WordPress et les plugins critiques
• Implémentez un WAF (Cloudflare, Wordfence, Sucuri) pour bloquer les exploits entrants
• Surveillez les flux de vulnérabilités via SolidWP, Patchstack ou les rapports mensuels de Wordfence
• Préparez-vous à WordPress 6.9 en testant en environnement de développement avant le 2 décembre

L’année 2025 reflète une maturation accélérée de l’écosystème WordPress avec une intégration profonde de l’IA, une standardisation de Full-Site Editing, mais aussi une augmentation significative des menaces de sécurité nécessitant une vigilance constante.