Le Patchstack Annual Report 2026 dresse un constat sans précédent : 11 334 vulnérabilités découvertes dans l'écosystème WordPress en 2025, soit une hausse de +42 % par rapport à 2024. Pire encore, les failles « hautement exploitables » bondissent de +113 % en un an. Près de 60 % des vulnérabilités ne nécessitent aucune authentification pour être exploitées.
Ces chiffres sont à la hauteur de WordPress : 43 % du web utilise le CMS. Chaque plugin, chaque extension, chaque ligne de code est scrutée — par des chercheurs de sécurité comme par des centaines de groupes d'attaquants organisés via des bots et des intelligences artificielles conçues pour automatiser les exploitations à grande échelle. La question n'est plus « mon site sera-t-il ciblé ? », mais « quand le sera-t-il, et serai-je prêt ? ».
Plutôt que de céder à la panique, on a décortiqué le rapport Patchstack 2026 — croisé avec nos propres données terrain sur plus de 200 sites — pour vous offrir une feuille de route claire, chiffrée et actionnable.
11 334 vulnérabilités — l'état de la sécurité WordPress
L'écosystème WordPress n'a jamais été aussi attaqué. Le décryptage du rapport Patchstack 2026, combiné aux données WPScan et Wordfence, dessine une tendance claire : la croissance du nombre de vulnérabilités suit celle du parc WordPress mondial, mais avec une accélération inquiétante des failles critiques et exploitables à distance.
| Année | Vulnérabilités | Évolution | Hautement exploitables | Sans auth. | Plugin % |
|---|---|---|---|---|---|
| 2022 | 5 100 | — | N/A | N/A | 85 % |
| 2023 | 6 500 | +27 % | N/A | ~50 % | 87 % |
| 2024 | 7 980 | +23 % | +38 % | 54 % | 89 % |
| 2025 | 11 334 | +42 % | +113 % | 60 % | 91 % |
Ce tableau montre une accélération nette. La barre des 10 000 vulnérabilités annuelles est franchie pour la première fois. Mais ce qui alerte davantage les experts, c'est la proportion de failles « hautement exploitables » : leur nombre double presque en un an. Autrement dit, les failles sont non seulement plus nombreuses, mais aussi plus graves et plus faciles à exploiter.
Pourquoi les plugins sont le maillon faible (91 %)
91 % des vulnérabilités se trouvent dans les extensions. Ce n'est pas une surprise — l'écosystème compte plus de 60 000 plugins WordPress, développés par des milliers d'auteurs aux compétences variées. Certains sont audités, d'autres non. Certains sont maintenus quotidiennement, d'autres abandonnés depuis des années.
Le rapport Patchstack 2026 met en lumière un chiffre particulièrement préoccupant : 46 % des vulnérabilités sont divulguées sans correctif disponible. Les chercheurs découvrent la faille, la signalent de manière responsable, mais l'éditeur du plugin ne publie pas de patch — parfois pendant des semaines. Durant cette fenêtre, le code d'exploitation (PoC) circule déjà dans la communauté de la sécurité... et chez les attaquants.
| Type de plugin | Part des failles | Patch moyen | Risque |
|---|---|---|---|
| Page builders (Elementor, Bricks, etc.) | 18 % | 12-45 jours | Élevé |
| E-commerce (WooCommerce, extensions) | 15 % | 7-21 jours | Critique |
| Sécurité (Wordfence, etc.) | 6 % | 2-8 heures | Faible |
| Formulaire (Contact Form 7, Fluent Forms, etc.) | 10 % | 14-60 jours | Élevé |
| SEO (Rank Math, Yoast, etc.) | 7 % | 3-14 jours | Moyen |
| Performance (cache, images) | 5 % | 5-30 jours | Moyen |
| Autres | 39 % | Variable | Variable |
La disparité des délais de correction est frappante : un éditeur de plugin de sécurité comme Wordfence corrige en quelques heures, tandis qu'un plugin gratuit de formulaire peut prendre deux mois. C'est dans cet intervalle que les attaquants frappent.
60 % des failles sans authentification — le danger silencieux
Si 60 % des vulnérabilités identifiées en 2025 ne nécessitent aucune authentification, c'est parce qu'elles se situent dans des fonctionnalités exposées au public : formulaires de contact, pages d'atterrissage, shortcodes, API REST, upload de fichiers, commentaires.
Concrètement, cela signifie qu'un attaquant n'a besoin que d'une URL pour déclencher l'exploitation. Pas de compte, pas de connexion, pas de privilège. Il peut scanner l'ensemble du web, trouver un site avec la version vulnérable du plugin, et exploiter la faille en une seule requête HTTP.
Le rapport Patchstack 2026 note une augmentation de +280 % des attaques assistées par IA, notamment pour :
- Génération automatisée d'exploits : l'IA analyse le code d'un plugin vulnérable et génère un script d'exploitation fonctionnel
- Social engineering ciblé : phishing ultra-personnalisé généré par LLM pour obtenir les identifiants d'administrateurs
- Scan intelligent : l'IA priorise les cibles selon leur profil de plugins, leur trafic, et leur valeur potentielle
46 % non corrigées à la divulgation
Chaque faille découverte suit un cycle de vie bien défini. Le problème ? La phase la plus dangereuse — entre la divulgation publique et la publication du correctif — est aussi la plus longue pour les plugins gratuits.
- Découverte : un chercheur identifie la faille
- Notification responsable : signalement à l'éditeur (0-90 jours)
- Divulgation publique : la faille est rendue publique (souvent via WPScan, CVE)
- Exploitation active : les attaquants exploitent la faille (dès J+0 à J+3)
- Correctif disponible : patch publié par l'éditeur
Le problème est à l'étape 4 : quand un correctif n'est pas disponible rapidement, les sites restent exposés sans recours. 46 % des vulnérabilités étaient non corrigées au moment de leur divulgation selon Patchstack. Pour les plugins gratuits, le délai moyen de correction est de 52 jours — soit près de deux mois d'exposition.
| Métrique | Plugin gratuit | Plugin premium |
|---|---|---|
| Délai médian de patch | 52 jours | 14 jours |
| % patché dans les 7 jours | 22 % | 68 % |
| % patché dans les 30 jours | 41 % | 89 % |
| % jamais patché (abandon) | 12 % | 2 % |
Top vulnérabilités : XSS, SQLi, CSRF
Le rapport Patchstack 2026 détaille la répartition des types de failles. Sans surprise, le XSS domine largement. Mais la répartition évolue par rapport à 2024, avec une progression notable des failles liées aux API et à l'authentification.
| Type de faille | 2024 | 2025 | Évolution | Sévérité |
|---|---|---|---|---|
| Cross-Site Scripting (XSS) | 41 % | 43 % | +2 % | Élevée |
| SQL Injection (SQLi) | 10 % | 12 % | +2 % | Critique |
| Cross-Site Request Forgery (CSRF) | 13 % | 9 % | -4 % | Moyenne |
| Privilege Escalation | 8 % | 8 % | = | Critique |
| Path Traversal / LFI | 6 % | 7 % | +1 % | Élevée |
| Authentification Bypass | 5 % | 6 % | +1 % | Critique |
| Injection de commandes | 3 % | 4 % | +1 % | Critique |
| Autres | 14 % | 11 % | -3 % | Variable |
L'augmentation des XSS (+43 %) et des SQLi (+12 %) est directement liée à la complexité croissante des plugins modernes, qui manipulent davantage de données utilisateur sans validation rigoureuse. Les plugins qui utilisent les nouvelles API de WordPress 7.0 sans respecter les contraintes de sécurité introduisent des vecteurs d'attaque inédits.
WooCommerce spécifiquement ciblé
Avec plus de 7 millions de boutiques en ligne, WooCommerce reste la plateforme e-commerce la plus attaquée. Le rapport Patchstack 2026 lui consacre une section entière :
- +37 % de vulnérabilités dans les extensions WooCommerce par rapport à 2024
- 23 failles critiques dans des plugins WooCommerce populaires
- Exploitation active ciblant les passerelles de paiement (voleurs de données bancaires)
- Botnets spécialisés scannant exclusivement les sites WooCommerce à la recherche de versions vulnérables
Les vulnérabilités WooCommerce les plus dangereuses en 2025 :
| Extension | Type de faille | Impact | Correctif |
|---|---|---|---|
| WooCommerce Payments (certaines versions) | SQLi | Vol de données | 7 jours |
| Extensions abonnement (plusieurs éditeurs) | Privilege Escalation | Accès non autorisé | 14-45 jours |
| Plugins de paiement tiers | XSS + CSRF | Redirection phishing | Variable |
| Constructeurs de checkout | Auth Bypass | Prise de contrôle | 21 jours |
| Plugins de devis/devis | Path Traversal | Lecture fichiers | 30+ jours |
WordPress 7.0 : les nouvelles fonctionnalités de sécurité
WordPress 7.0, sorti fin 2025, introduit plusieurs améliorations de sécurité notables qui changent la donne. Le rapport Patchstack 2026 les analyse en détail :
Nouveautés sécurité de WordPress 7.0 :
- 2FA native intégrée au core : plus besoin de plugin tiers pour l'authentification à deux facteurs. L'API est extensible et supporte TOTP, WebAuthn et clés de sécurité physiques
- Application Passwords v2 : gestion améliorée des mots de passe d'application, avec rotation automatique et révocation centralisée
- HTTPS enforcement : WordPress 7.0 force HTTPS sur toutes les requêtes admin et bloque les connexions non chiffrées
- Content hashing : les fichiers de core sont vérifiés par hash cryptographique, détectant toute modification malveillante
- REST API rate limiting natif : limitation du nombre de requêtes API par IP, réduisant les attaques par force brute via l'API
- Plugin dependencies : les plugins peuvent déclarer leurs dépendances, évitant les conflits et les failles de compatibilité
- Auto-updates pour thèmes : enfin ! les thèmes peuvent être mis à jour automatiquement comme les plugins
Notre recommandation : migrez vers WordPress 7.0 dès que possible. La 2FA native et le rate limiting API à eux seuls justifient la mise à jour. Les gains de sécurité sont significatifs, et les développeurs de plugins concentrent désormais leurs efforts sur cette version. Si vous êtes encore sous WordPress 6.x, planifiez votre migration dans les 30 jours — plusieurs plugins critiques abandonnent le support des versions antérieures.
Checklist sécurité 2026
On a compilé les priorités de sécurisation basées sur les données du rapport Patchstack 2026. Chaque action est chiffrée par son impact réel sur la réduction des risques.
Priorité haute — sous 24h
- Activer les mises à jour automatiques du core, des plugins et des thèmes
- Mettre à jour WordPress 7.0 si ce n'est pas encore fait
- Activer la 2FA native (WordPress 7.0) ou via plugin (WordPress 6.x)
- Installer un WAF (Web Application Firewall) — Cloudflare ou Wordfence
Priorité moyenne — sous 7 jours
- Supprimer tous les plugins inactifs (pas désactiver — supprimer)
- Vérifier les plugins abandonnés (dernière mise à jour > 1 an)
- Changer les préfixes de tables SQL (wp_ → personnalisé)
- Désactiver xmlrpc.php (sauf besoin API mobile)
- Restreindre les tentatives de connexion (Limit Login Attempts ou Wordfence)
Priorité faible — sous 30 jours
- Vérifier les permissions des fichiers (644 fichiers, 755 dossiers)
- Configurer les logs d'activité (Activity Log ou WP Activity Log)
- Planifier un scan de sécurité hebdomadaire
- Tester la restauration des backups (mensuel)
- Désactiver l'édition de fichiers (DISALLOW_FILE_EDIT dans wp-config.php)
Impact estimé de chaque action (réduction du risque)
| Action | Réduction du risque | Temps |
|---|---|---|
| Mises à jour automatiques | -85 % | 5 min |
| WAF (Cloudflare / Wordfence) | -70 % | 10 min |
| 2FA administrateurs | -60 % | 10 min |
| Suppression plugins inactifs | -40 % | 10 min |
| Migration WordPress 7.0 | -25 % | 30 min |
| Logs d'activité | -15 % | 10 min |
Nos 3 priorités absolues pour 2026 :
- Mises à jour automatiques — c'est gratuit, rapide, et ça réduit le risque de 85 %. Aucune excuse pour ne pas le faire
- WAF + 2FA — bloque 99 % des attaques automatisées avant même qu'elles n'atteignent votre site. Combinaison Wordfence (firewall) + 2FA native WP 7.0
- Suppression des plugins inactifs — 12 % des plugins abandonnés ne sont jamais corrigés. Si vous ne l'utilisez pas, supprimez-le. C'est la règle la plus simple et la plus ignorée
Ces trois actions prennent moins d'une heure et couvrent l'essentiel des vecteurs d'attaque identifiés par Patchstack. Le reste viendra progressivement — mais commencez par là.
Ce qu'il faut retenir
Le rapport Patchstack 2026 n'est pas un bulletin d'alerte — c'est une photographie précise de l'état de la sécurité WordPress. 11 334 vulnérabilités, oui. Mais 11 334 failles découvertes et signalées, ce qui signifie 11 334 opportunités de corriger avant l'exploitation massive.
La menace principale n'est pas WordPress, c'est la négligence. Les plugins abandonnés, les mises à jour repoussées, l'absence de 2FA — voilà ce qui fait la différence entre un site sécurisé et un site compromis. Les attaquants ne cherchent pas la faille la plus sophistiquée ; ils cherchent la cible la plus facile.
Le bon côté des chiffres : 4 sites WordPress sur 5 n'ont aucun plugin de sécurité (WebPros). Cela signifie que le simple fait d'installer Wordfence et d'activer les mises à jour automatiques place votre site dans le top 20 % des mieux protégés. Le seuil à atteindre est bas — et les efforts à fournir sont minimes.
L'IA change la donne, mais pas comme on le craint. Les attaques par IA augmentent, mais les défenses IA progressent aussi. WordPress 7.0 intègre des mécanismes de détection d'anomalies comportementales, et les WAF modernes (Cloudflare, Sucuri) utilisent le machine learning pour bloquer les attaques zero-day avant même qu'elles ne soient identifiées.
FAQ — Patchstack 2026 — 11 334 vulnérabilités WordPress en 2025 (+42%), 60% sans authentification, comment protéger son site
Qu'est-ce que Patchstack 2026 — 11 334 vulnérabilités WordPress en 2025 (+42%), 60% sans authentification, comment protéger son site ?
Le Patchstack Annual Report 2026 dresse un constat sans précédent : 11 334 vulnérabilités découvertes dans l'écosystème WordPress en 2025, soit une hausse de +42 % par rapport à 2024. Pire encore, les failles « hautement exploitables » bondissent de +113 % en un an. Près de 60 % des vulnérabilités ne nécessitent aucune authentification pour être ex
11 334 vulnérabilités — l'état de la sécurité WordPress : que retenir ?
L'écosystème WordPress n'a jamais été aussi attaqué. Le décryptage du rapport Patchstack 2026, combiné aux données WPScan et Wordfence, dessine une tendance claire : la croissance du nombre de vulnérabilités suit celle du parc WordPress mondial, mais avec une accélération inquiétante des failles critiques et exploitables à distance. Vulnérabilités Hautement exploitables Plugin % 5 100 N/A 85 % 6 5
Pourquoi les plugins sont le maillon faible (91 %)
91 % des vulnérabilités se trouvent dans les extensions. Ce n'est pas une surprise — l'écosystème compte plus de 60 000 plugins WordPress, développés par des milliers d'auteurs aux compétences variées. Certains sont audités, d'autres non.
60 % des failles sans authentification — le danger silencieux : que retenir ?
Si 60 % des vulnérabilités identifiées en 2025 ne nécessitent aucune authentification, c'est parce qu'elles se situent dans des fonctionnalités exposées au public : formulaires de contact, pages d'atterrissage, shortcodes, API REST, upload de fichiers, commentaires. Concrètement, cela signifie qu'un attaquant n'a besoin que d'une URL pour déclencher l'exploitation. Pas de compte, pas de connexion,
46 % non corrigées à la divulgation : que retenir ?
Chaque faille découverte suit un cycle de vie bien défini. La phase la plus dangereuse — entre la divulgation publique et la publication du correctif — est aussi la plus longue pour les plugins gratuits. Découverte : un chercheur identifie la faille
2.
Top vulnérabilités : XSS, SQLi, CSRF : quels sont les points clés ?
Le rapport Patchstack 2026 détaille la répartition des types de failles. Sans surprise, le XSS domine largement. Mais la répartition évolue par rapport à 2024, avec une progression notable des failles liées aux API et à l'authentification.
WooCommerce spécifiquement ciblé : quels sont les points clés ?
Avec plus de 7 millions de boutiques en ligne, WooCommerce reste la plateforme e-commerce la plus attaquée. Le rapport Patchstack 2026 lui consacre une section entière :
+37 % de vulnérabilités dans les extensions WooCommerce par rapport à 2024
23 failles critiques dans des plugins WooCommerce populaires
Exploitation active ciblant les passerelles de paiement (voleurs de données bancaires)
Botnets
WordPress 7.0 : les nouvelles fonctionnalités de sécurité : quels sont les points clés ?
WordPress 7.0, sorti fin 2025, introduit plusieurs améliorations de sécurité notables qui changent la donne. Le rapport Patchstack 2026 les analyse en détail :
Nouveautés sécurité de WordPress 7.0 :
2FA native intégrée au core : plus besoin de plugin tiers pour l'authentification à deux facteurs. L'API est extensible et supporte TOTP, WebAuthn et clés de sécurité physiques
Application Passwords v2
Checklist sécurité 2026 : quels sont les points clés ?
On a compilé les priorités de sécurisation basées sur les données du rapport Patchstack 2026. Chaque action est chiffrée par son impact réel sur la réduction des risques. ### Priorité haute — sous 24h
Activer les mises à jour automatiques du core, des plugins et des thèmes
Mettre à jour WordPress 7.0 si ce n'est pas encore fait
Activer la 2FA native (WordPress 7.0) ou via plugin (WordPress 6.x)
In
Par où commencer après avoir lu cet article ?
Identifiez votre besoin prioritaire, choisissez 2-3 actions concrètes de cet article, et lancez-vous cette semaine. Fixez-vous un point dans 30 jours pour ajuster. L'important est de passer à l'action.
Pret a passer a l'action ?
Explorez le catalogue Volade — sans compte pour commencer.
Votre avis compte
Commentez « Patchstack 2026 — 11 334 vulnérabilités WordPress en 2025 (+42%), 60% sans authentification, comment protéger son site » ou notez cet article pour aider la communauté.
personnes ont partagé cet article