Les chercheurs de l’équipe Wordfence de Defiant ont alerté sur une série de vulnérabilités critiques dans le populaire thème Avada pour la plateforme WordPress, permettant à un attaquant non authentifié d’exécuter des instructions PHP arbitraires sur le serveur au moyen d’une attaque ne nécessitant aucun clic de l’utilisateur. Les six vulnérabilités sont regroupées sous l’identifiant CVE-2026-18431 et ont obtenu un score de gravité de 9,8 sur 10.
ThemeFusion, le développeur du thème Avada et de l’extension Fusion Builder, a publié les correctifs dans Avada 7.16.1 et Fusion Builder 3.16.1 le 25 août 2026. La faille affecte les versions d’Avada jusqu’à la 7.16 et les versions de Fusion Builder jusqu’à la 3.16. Les administrateurs de sites doivent mettre à jour les deux composants, car l’extension est nécessaire au fonctionnement du thème et est installée avec celui-ci, selon une précision de Wordfence rapportée par BleepingComputer.
Une chaîne de six étapes plutôt qu’une vulnérabilité isolée
L’exploitation ne repose pas sur un seul problème indépendant, mais relie six types de faiblesses dans un ordre précis. La chaîne commence par l’exposition de données contrôlées par l’attaquant via une requête publique, puis par la transmission de ces données à une fonction inaccessible aux utilisateurs anonymes, ainsi que par l’appel d’un composant doté de privilèges en dehors du contexte qui lui est destiné.
Les données de la requête sont ensuite utilisées pour influencer un état de confiance, puis accéder à une opération administrative insuffisamment protégée et, enfin, contourner les restrictions imposées au mécanisme de gestion des fichiers afin de déterminer ce qui peut être écrit et où. C’est cette séquence qui transforme des failles disparates en capacité d’exécuter du code PHP à distance.
Qu’est-ce qui change concrètement pour les propriétaires de sites ?
Si l’attaque réussit, l’attaquant peut prendre le contrôle total du site et du serveur associé, dans les limites des privilèges disponibles. Les conséquences potentielles comprennent l’installation de logiciels malveillants, l’accès aux bases de données, la redirection des visiteurs vers des sites malveillants ou la création de comptes administrateur non autorisés.
L’importance de la faille s’explique par l’étendue de l’utilisation d’Avada, dont les ventes ont dépassé le million d’exemplaires. Selon Wordfence, la présence du thème implique en pratique celle de Fusion Builder, nécessaire à son fonctionnement. Les exigences techniques ne réduisent donc pas autant que l’on le pensait initialement le nombre de sites ciblés : tout site utilisant Avada est exposé s’il reste sur les versions concernées.
Pourquoi cette actualité est-elle importante ?
La gravité tient à la combinaison de trois facteurs : une évaluation de sécurité critique, l’absence de nécessité d’une authentification ou d’une interaction de la victime, et la large diffusion du composant au sein des sites WordPress. La nature de la chaîne fait également de la mise à jour simultanée du thème et de l’extension une priorité, plutôt que de se limiter à vérifier l’un des deux.
Wordfence a découvert la faille le 30 juillet 2026 à l’aide d’un cadre interne orienté par une intelligence artificielle agentique appelé Argus, qui a réussi à la reproduire et à développer un code de preuve de concept en environ deux heures. Les chercheurs ont partagé tous les détails avec ThemeFusion le 5 août, et l’entreprise a reconnu le rapport le 10 août. Wordfence n’a pas publié l’intégralité des détails techniques afin de laisser aux administrateurs de sites le temps d’installer les mises à jour ; la source ne précise donc pas si des attaques actives avaient eu lieu avant la disponibilité des correctifs.