Le 20 juillet 2026, le CERT-FR — le centre gouvernemental français de veille et d'alerte sur les cybermenaces, rattaché à l'ANSSI — a publié une alerte sur deux failles critiques touchant le cœur même de WordPress.
Ce logiciel fait tourner une grande partie des sites de PME en France.
Si le vôtre en fait partie, ce n'est plus seulement un sujet pour votre webmaster. C'est un sujet de conformité RGPD, avec une horloge qui tourne dès la première minute.
Quels réflexes adopter face à ce type d'incident ?
1. Ce qui s'est passé
Des chercheurs en sécurité ont découvert une faille qui permet à un pirate d'entrer sur un site WordPress sans avoir de compte, sans mot de passe, et sans que le propriétaire du site s'en aperçoive.
Concrètement, cette faille permet à un pirate de fouiller dans la base de données du site — c'est là que sont stockés les emails, les messages laissés via un formulaire de contact, ou encore les comptes clients. En allant plus loin, elle lui permet même de prendre le contrôle total du site, comme s'il en était l'administrateur.
Ce n'est pas une extension mal codée ni un thème douteux qui est en cause. Le problème se situe dans WordPress lui-même. Autrement dit, même un site bien entretenu peut être concerné.
WordPress a corrigé le problème avec une mise à jour (version 7.0.2) publiée le 17 juillet.
Le souci, c'est que trois jours plus tard, le mode d'emploi pour exploiter cette faille est devenu public. N'importe quel pirate peut désormais s'en servir contre les sites qui n'ont pas encore installé cette mise à jour. Des attaques sont déjà observées en ce moment même.
C'est pour cette raison que les autorités de cybersécurité ne présentent pas cette mise à jour comme une formalité à faire "quand vous aurez le temps", mais comme une urgence.
2. Mesurer ce que cela change pour vos obligations RGPD
Si votre site héberge un formulaire de contact, une liste d'inscrits à une newsletter, des comptes clients, ou des données de candidats ou de salariés, une compromission touche des données à caractère personnel.
On ne parle alors plus que d'un incident technique mais potentiellement, d'une violation de données personnelles au sens de l'article 4(12) du RGPD.
Et une violation de données déclenche des obligations précises, avec un calendrier serré, indépendamment de la taille de votre structure :
- Notification à la CNIL sous 72 heures, dès que la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées (article 33). Le délai court à partir du moment où vous avez connaissance de l'incident, pas une fois l'analyse terminée.
- Information des personnes concernées si le risque est élevé (article 34). Mots de passe, données bancaires ou données de santé exposés en sont des exemples fréquents, pas une liste limitative : l'appréciation du risque se fait au cas par cas, selon la nature et l'ampleur de ce qui a été exposé.
- Documentation systématique dans votre registre des violations, même si vous concluez qu'une notification à la CNIL n'est pas nécessaire. Cette absence de notification doit pouvoir se justifier a posteriori.
3. Ce qu'il faut vérifier dès maintenant
Quatre choses à faire, vous-même ou en le demandant à votre hébergeur ou votre développeur si vous ne gérez pas votre site au quotidien :
- Mettre à jour WordPress vers la version 7.0.2. C'est la seule action qui referme réellement la faille.
- Si cette mise à jour ne peut pas être faite tout de suite, demandez à votre hébergeur ou développeur de bloquer temporairement l'accès à une partie technique du site (l'API REST) qui sert de porte d'entrée à cette attaque. C'est une solution de secours en attendant la mise à jour, pas un remplacement.
- Demandez à votre hébergeur ou développeur si le site a pu être piraté avant l'installation du correctif, surtout si vous n'aviez pas fait de mise à jour depuis plusieurs semaines.
- Vérifiez qui a accès au compte administrateur de votre site, et que les mots de passe utilisés sont solides.
Conclusion
Un site vitrine n'est jamais hors périmètre RGPD.
Beaucoup de dirigeants le considèrent comme secondaire par rapport à leur cœur de métier, jusqu'au jour où un formulaire de contact compromis expose les coordonnées de centaines de prospects.
La faille WordPress de juillet 2026 rappelle une chose simple : la sécurité technique et la conformité RGPD ne sont pas deux sujets séparés. Ce sont les deux faces d'une même responsabilité — un sujet que j'abordais déjà dans Quand la sécurité devient un risque.
Votre site repose sur WordPress et héberge des données clients ou prospects ?
