Nouvelle alerte à destination de tous les administrateurs de sites WordPress : la faille CVE-2026-32475, corrigée le 19 août 2026 dans Elementor Pro, permet à un visiteur anonyme de déposer un fichier PHP sur un site WordPress, puis de l'exécuter. Aucun compte, aucune interaction avec un administrateur. Il suffit que le site publie un formulaire Elementor avec un champ permettant de charger un fichier. Voici ce que l'on sait sur cette menace potentielle.

Pour rappel : Elementor Pro est la version payante d'Elementor, l'un des constructeurs de pages les plus répandus de l'écosystème WordPress. La version gratuite dépasse les 10 millions d'installations actives d'après WordPress.org. Pour la déclinaison Pro, il y aurait au moins 6 millions d'installations. C'est l'un des plugins les plus utilisés par les sites WordPress.