--- title: "🔮 CVE-2026-14894 : votre site WordPress est peut-ĂȘtre dĂ©jĂ  compromis" id: "1638" type: "post" slug: "wordpress-securite-cve-2026-14894" published_at: "2026-09-13T16:04:45+00:00" modified_at: "2026-09-13T16:04:46+00:00" url: "https://www.cloux.net/securite/wordpress-securite-cve-2026-14894/" markdown_url: "https://www.cloux.net/securite/wordpress-securite-cve-2026-14894.md" excerpt: "CVE-2026-14894, notĂ©e CVSS 9.8, expose les sites WordPress utilisant Super Forms ≀ 6.3.313 Ă  une exĂ©cution de code Ă  distance sans authentification. Plus de 440 000 tentatives actives dĂ©tectĂ©es en septembre 2026. Que vĂ©rifier et comment patcher." taxonomy_category: - "SĂ©curitĂ©" taxonomy_post_tag: - "ANSSI" - "CERT" - "cve" - "CVE-2026-14894" - "sĂ©curitĂ©" - "wordpress" --- Depuis dĂ©but septembre 2026, plus de 440 000 tentatives d’exploitation active ont Ă©tĂ© dĂ©tectĂ©es sur des sites WordPress dans le monde. La cible : le plugin Super Forms – Drag & Drop Form Builder, via la faille **CVE-2026-14894**, notĂ©e CVSS 9.8 sur 10. En clair : critique, exploitable sans compte, en deux requĂȘtes HTTP. ![CybersĂ©curitĂ© - code malveillant WordPress](https://www.cloux.net/wp-content/uploads/2026/09/security-protection-anti-virus-software-60504.jpeg) ## 🧹 Ce que permet cette faille Le handler AJAX `super_submit_form` accepte n’importe quel fichier tĂ©lĂ©versĂ©, sans vĂ©rification du type, sans contrĂŽle d’authentification. Pire : un second endpoint public, `super_create_nonce`, permet Ă  n’importe qui d’obtenir un nonce valide sans compte. RĂ©sultat : un attaquant externe dĂ©pose un webshell PHP sur votre serveur en deux requĂȘtes. - 🎯 **Vecteur :** rĂ©seau, sans authentification - 📩 **Plugins concernĂ©s :** Super Forms ≀ 6.3.313 - đŸ©č **Patch disponible :** version 6.3.314 depuis le 7 juillet 2026 - đŸ”„ **Exploitation active :** plus de 440 000 tentatives bloquĂ©es par Wordfence au 3 septembre 2026 ## ⚙ La mĂ©canique d’attaque en dĂ©tail L’attaquant envoie d’abord une requĂȘte POST sur `/wp-admin/admin-ajax.php?action=super_create_nonce` , rĂ©ponse immĂ©diate : un `sf_nonce` valide et un cookie de session. Il enchaĂźne aussitĂŽt avec un POST sur `super_submit_form`, en glissant dans le champ fichier un payload PHP encodĂ© en Base64, avec un nom de fichier se terminant en `.php`. Le fichier atterrit dans un rĂ©pertoire accessible depuis le web. L’exĂ©cution de code Ă  distance est alors triviale. Ce qui est frappant d’un point de vue dĂ©fensif : la vulnĂ©rabilitĂ© ne repose sur aucune erreur utilisateur, aucune manipulation sociale. C’est une faille architecturale pure, un endpoint non protĂ©gĂ© qui fait confiance Ă  un nonce qu’il distribue lui-mĂȘme Ă  quiconque le demande. ## đŸ›Ąïž Ce qu’il faut faire maintenant - 🔄 **Mettre Ă  jour Super Forms vers la version 6.3.314** immĂ©diatement si vous l’utilisez - 🔍 **Auditer les fichiers rĂ©cents** dans `/wp-content/uploads/` cherchez des fichiers PHP inattendus - đŸ§± **VĂ©rifier votre WAF** : Wordfence bloque l’exploit, mais seulement si les rĂšgles sont Ă  jour - 📋 **Consulter les logs Apache/Nginx** : cherchez des POST vers `super_create_nonce` ou `super_submit_form` depuis des IP inconnues - 🔒 **Activer la double authentification** sur l’admin WordPress si ce n’est pas encore fait ## đŸ‘ïž Mon angle terrain Un webshell sur le site WordPress d’une association ou d’une collectivitĂ© peut ouvrir l’accĂšs Ă  tout un rĂ©seau LAN si le serveur est mal segmentĂ©. Activer dans les extensions WordPress les mises Ă  jour automatique. Installer / activer l’extension Wordfence si se ce n’est pas dĂ©jĂ  fait. Ce blog cloux.net utilise Wordfence, les tentatives d’exploitation de cette CVE ont effectivement Ă©tĂ© bloquĂ©es dans les logs. Mais la rĂšgle de base reste : **patcher, pas espĂ©rer**. ## 📚 Sources vĂ©rifiĂ©es - NVD / NIST : [CVE-2026-14894](https://nvd.nist.gov/vuln/detail/cve-2026-14894) - The Hacker News (03/09/2026) : [Over 440,000 Exploit Attempts Target Super Forms and Elementor Pro RCE Flaws](https://thehackernews.com/2026/09/over-440000-exploit-attempts-target.html) - GBHackers (03/09/2026) : [Critical Super Forms WordPress Flaw Actively Exploited](https://gbhackers.com/critical-super-forms-wordpress-flaw-actively-exploited/) - Wordfence – RadioCSIRT Ep.738 (03/09/2026) - ionix.io : [CVE-2026-14894 Threat Center](https://www.ionix.io/threat-center/cve-2026-14894/) F4ASJRadioamateur [x.com](https://x.com/ocloux) PubliĂ© le 13 septembre 2026 — mis Ă  jour le 13 septembre 2026 ### Partager cet article : [Share on X (Twitter)](https://twitter.com/intent/tweet?text=%F0%9F%94%B4%20CVE-2026-14894%20%3A%20votre%20site%20WordPress%20est%20peut-%C3%AAtre%20d%C3%A9j%C3%A0%20compromis&url=https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F&via=ocloux&related=ocloux) [Share on Facebook](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F) [Share on Pinterest](https://pinterest.com/pin/create/button/?url=https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F&media=https%3A%2F%2Fwww.cloux.net%2Fwp-content%2Fuploads%2F2026%2F09%2Fsecurity-protection-anti-virus-software-60504-1024x683.jpeg&description=%F0%9F%94%B4%20CVE-2026-14894%20%3A%20votre%20site%20WordPress%20est%20peut-%C3%AAtre%20d%C3%A9j%C3%A0%20compromis) [Share on LinkedIn](https://www.linkedin.com/shareArticle?mini=1&url=https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F&title=%F0%9F%94%B4%20CVE-2026-14894%20%3A%20votre%20site%20WordPress%20est%20peut-%C3%AAtre%20d%C3%A9j%C3%A0%20compromis&source=https%3A%2F%2Fwww.cloux.net&summary=CVE-2026-14894%2C%20not%C3%A9e%20CVSS%209.8%2C%20expose%20les%20sites%20WordPress%20utilisant%20Super%20Forms%20%E2%89%A4%206.3.313%20%C3%A0%20une%20ex%C3%A9cution%20de%20code%20%C3%A0%20distance%20sans%20authentification.%20Plus%20de%20440%20000%20tentatives%20actives%20d%C3%A9tect%C3%A9es%20en%20septembre%202026.%20Que%20v%C3%A9rifier%20et%20comment%20patcher.) [Share on Email](mailto:?body=J%27ai%20consult%C3%A9%20cette%20page%20et%20je%20souhaite%20la%20partager%0D%0ALe%20lien%3A%20https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F&subject=Article%20du%20site%20CLOUX.NET%20%C3%A0%20consulter%20%F0%9F%94%B4%20CVE-2026-14894%20%3A%20votre%20site%20WordPress%20est%20peut-%C3%AAtre%20d%C3%A9j%C3%A0%20compromis) [Share on Reddit](https://www.reddit.com/submit?url=https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F) [Share on WhatsApp](https://api.whatsapp.com/send?text=%F0%9F%94%B4%20CVE-2026-14894%20%3A%20votre%20site%20WordPress%20est%20peut-%C3%AAtre%20d%C3%A9j%C3%A0%20compromis%20%E2%80%94%20https%3A%2F%2Fwww.cloux.net%2Fsecurite%2Fwordpress-securite-cve-2026-14894%2F)