CVE-2026-82222 : la vulnérabilité critique de GiveWP qui expose WordPress à l’exécution de commandes

Le plugin GiveWP pour WordPress, utilisé par plus de 100 000 sites pour gérer les dons et les campagnes de collecte de fonds, contient une vulnérabilité de sévérité maximale. Identifiée sous le nom CVE-2026-82222, elle permet à un attaquant non authentifié d’exécuter des commandes arbitraires sur le serveur hébergeant le site. La faille a été signalée le 28 juillet 2026 par le chercheur Udin Chan via la plateforme de veille sur les vulnérabilités Patchstack. L’éditeur a publié un correctif avec la version 4.16.7.2 le 27 août 2026.

Comment fonctionne l’attaque, étape par étape

L’exploitation de la vulnérabilité nécessite l’enchaînement de trois problèmes distincts au sein du plugin. Le premier est un assistant non sécurisé pour désérialiser des données PHP. Le deuxième est le flux de traitement des dons, qui stocke des objets sérialisés contrôlés par l’attaquant. Le troisième est une chaîne de gadgets (gadget chain), c’est-à-dire une séquence de classes et de méthodes présentes dans les bibliothèques incluses dans le plugin, capable d’invoquer des commandes système arbitraires.

Pour comprendre le risque, il est utile de clarifier ce que signifie désérialiser des données en PHP. La sérialisation transforme un objet en une chaîne qui peut être enregistrée ou transmise. La désérialisation effectue le chemin inverse : elle reconstruit l’objet à partir de la chaîne. Si une application désérialise des données fournies par un utilisateur sans contrôles adéquats, un attaquant peut manipuler la chaîne pour déclencher l’exécution de code. Dans GiveWP, l’attaquant exploite cette faiblesse pour transformer un simple don en une exécution de commandes.

L’attaque commence par la création d’un compte sur le site. GiveWP expose une action d’enregistrement non authentifiée, accessible via le paramètre give_action=user_register. Cette action ne consulte jamais l’option WordPress users_can_register. Même lorsque l’administrateur a désactivé l’inscription publique, un attaquant peut créer un compte et obtenir un cookie d’authentification.

Après l’authentification, l’attaquant stocke un objet sérialisé malveillant dans son propre profil. Il envoie ensuite un don manipulé qui fait écrire le gadget dans la table des sessions du plugin, la table wp_give_sessions. Le serveur répond avec une erreur HTTP 500, mais la charge utile est désormais archivée. À ce stade, demander n’importe quelle page front-end avec le cookie d’authentification suffit : le serveur désérialise le gadget et exécute la commande.

Versions concernées et condition d’exploitation

La vulnérabilité affecte GiveWP jusqu’à la version 4.16.7.1 incluse. Les versions 4.16.6, 4.16.7 et 4.16.7.1 restent vulnérables. L’exploitation effective nécessite toutefois que le site contienne un formulaire de don legacy dépourvu du paramètre formBuilderSettings. Cette condition peut se produire dans des installations mises à jour, sur des sites utilisant l’éditeur basé sur les options, ou suite à l’importation ou à la restauration de formulaires plus anciens.

Le correctif a été introduit avec la version 4.16.7.2, publiée le 27 août 2026. La mise à jour bloque les données sérialisées pendant le traitement des dons, limite la création d’objets à plusieurs endroits de désérialisation et supprime les charges utiles sérialisées déjà présentes dans les bases de données compromises. Ce dernier point est important : ceux qui ont déjà subi une tentative d’exploitation trouveront les charges utiles éliminées après la mise à jour.

Un score CVSS maximal

La vulnérabilité a reçu un score CVSS de 10 sur 10, le maximum possible. Le vecteur CVSS 3.1 est AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Concrètement : attaque depuis le réseau, complexité faible, aucun privilège requis, aucune interaction utilisateur, impact sur toutes les composantes de confidentialité, d’intégrité et de disponibilité. Ce score reflète la gravité extrême de la faille : une fois exploitée, elle permet la compromission complète du serveur.

Risques pour les sites, les donateurs et les services d’hébergement

Une attaque réussie permet d’exécuter des commandes arbitraires sur le serveur d’hébergement. Les conséquences incluent le vol de données, la manipulation du site, l’installation de portes dérobées pour la persistance et l’accès à des informations sensibles sur les donateurs et les utilisateurs. La base de données d’un site GiveWP peut contenir des noms, des adresses e-mail et l’historique des dons.

Le risque n’est pas théorique. Par le passé, des attaquants ont ciblé GiveWP pour compromettre indirectement Pi-hole, un bloqueur de publicités réseau bien connu. Lors de cet incident, les noms et adresses e-mail de 30 000 donateurs ont été exposés. La nouvelle faille, si elle est exploitée à grande échelle, pourrait entraîner des conséquences similaires ou pires, en particulier sur les serveurs partagés où plusieurs sites résident sur le même hôte. Un seul compte créé sur un site vulnérable pourrait devenir la porte d’entrée de tout l’environnement d’hébergement.

Actions immédiates pour les administrateurs

Les administrateurs de sites WordPress utilisant GiveWP doivent immédiatement mettre à jour vers la version 4.16.7.2 ou ultérieure. La mise à jour corrige non seulement la vulnérabilité, mais supprime également les charges utiles sérialisées déjà stockées dans les bases de données compromises. Aucune autre mesure d’atténuation spécifique n’est indiquée en dehors de la mise à jour.

Après la mise à jour, il est conseillé de vérifier qu’aucun compte suspect n’a été créé sur le site et de consulter les journaux du serveur pour détecter d’éventuelles commandes exécutées de manière anormale. Dans les environnements comportant de nombreux sites WordPress, la mise à jour doit être planifiée rapidement pour éviter qu’un seul formulaire legacy ne devienne le point d’entrée.

Le problème résiduel de l’enregistrement exposé

Après le correctif, l’action d’enregistrement non authentifiée continue de ne pas respecter les paramètres d’enregistrement WordPress. Elle n’est toutefois plus exploitable pour obtenir une exécution de code. Elle reste une surface d’attaque potentielle pour d’autres abus, comme la création de comptes spam ou des tentatives d’élévation de privilèges, mais ne représente actuellement aucun risque d’exécution de commandes. Les développeurs de GiveWP devraient aligner ce comportement sur les paramètres standard de WordPress dans les prochaines versions.