CVE-2026-15748 : l’extension Forminator laisse déposer du PHP sans authentification
Publié le
Forminator Forms compte plus de 600 000 installations actives sur WordPress. CVE-2026-15748, notée 9.8 sur 10, permet à un attaquant non authentifié d’envoyer un fichier PHP et d’obtenir l’exécution de code. Au moment de la divulgation publique, SecurityWeek estimait que plus de 300 000 sites tournaient encore sur une version vulnérable.
Corrigé par l’éditeur : Forminator Forms 1.56.2 (31 juillet 2026)
Que fait concrètement cette faille ?
La fonction `handle_file_upload()` de l’extension ne valide pas suffisamment le type du fichier fourni par le visiteur. Un attaquant forge la configuration du champ d’envoi du formulaire et dépose un fichier PHP là où le site n’attendait qu’une pièce jointe.
Toutes les versions jusqu’à 1.56.1 incluse sont concernées. Aucune authentification n’est nécessaire : il suffit qu’un formulaire vulnérable soit publié sur le site.
Pourquoi la moitié du parc n’était-elle pas à jour ?
Le correctif 1.56.2 est sorti le 31 juillet 2026. Une semaine plus tard, la moitié des installations tournait encore sur une version vulnérable.
C’est le maillon faible habituel : un site confié à une agence qui n’intervient plus, des mises à jour automatiques désactivées après une régression, un formulaire de contact que plus personne ne regarde depuis trois ans. L’extension, elle, continue d’écouter.
Est-ce le même scénario d’un CMS à l’autre ?
Juin 2026 : envoi de fichiers non authentifié dans une extension Magento. Août 2026 : envoi de fichiers non authentifié dans une extension WordPress. Même cause, même conséquence, deux écosystèmes différents.
Ce n’est pas un problème de CMS. C’est un problème de point d’entrée : partout où une application accepte un fichier venu de l’extérieur, la validation doit tenir. Quand elle ne tient pas, ce qui vous sauve est ce qui se trouve devant.
Que faire dès aujourd’hui ?
Passez Forminator Forms en 1.56.2 ou version ultérieure. Vérifiez ensuite `wp-content/uploads` : un fichier déposé avant la mise à jour y est toujours.
Interdisez l’exécution de PHP dans les dossiers d’envoi au niveau du serveur web. Cette seule mesure neutralise la majorité des failles d’upload, quelle que soit l’extension concernée.
Qui est concerné ?
- Forminator Forms pour WordPress, versions ≤ 1.56.1
- Corrigé dans la version 1.56.2, publiée le 31 juillet 2026
- CVSS : 9.8 (critique) : envoi de fichiers arbitraire non authentifié
- Plus de 600 000 installations actives, plus de 300 000 encore vulnérables à la divulgation
Comment AtriShield bloque-t-il la faille ?
Patch virtuel (Business et Enterprise) : la faille est neutralisée à l’entrée de votre serveur, sans modifier votre application et sans attendre la fenêtre de maintenance. Des métadonnées de sécurité remontent à votre console.
- ✓Patch virtuel sur le point d’envoi : les requêtes déposant un fichier exécutable sont refusées avant WordPress.
- ✓La configuration de champ forgée est détectée à l’entrée, indépendamment de la version de l’extension installée.
- ✓La protection couvre l’ensemble de vos extensions, pas uniquement celles que vous avez pensé à surveiller.
- ✓Utile pendant l’intervalle entre le correctif de l’éditeur et sa mise en production sur vos sites.
Sources
- Tenable - CVE-2026-15748
- SecurityWeek - 300,000 WordPress sites potentially exposed due to form plugin flaw
Analyse publiée par Atrilya Solutions à partir de publications de sécurité publiques. Les liens ci-dessus renvoient aux sources d’origine.