Une extension de sécurité n’échappe pas aux failles, et Really Simple Security en donne une illustration très documentée : treize vulnérabilités publiées entre avril 2024 et septembre 2026, dont une critique en 2024 et une série de contournements de la double authentification en 2026. Voici la chronologie complète, vérifiée fiche par fiche, ce que chaque faille permettait réellement et les versions à installer pour être à l’abri.
Really Simple Security en bref
Really Simple Security est l’ancien Really Simple SSL, publié sur wordpress.org depuis mars 2015 par l’éditeur Really Simple Plugins (slug really-simple-ssl). L’extension s’est d’abord fait connaître pour activer HTTPS en un clic et corriger le contenu mixte. Elle a ensuite ajouté des fonctions de sécurité : durcissement, détection de vulnérabilités, limitation des connexions, en-têtes de sécurité et double authentification (2FA). Une édition Pro payante complète l’offre.
Elle compte plus de 3 millions d’installations actives selon wordpress.org (ce chiffre était donné à plus de 4 millions, éditions Pro comprises, par Wordfence fin 2024). Deux raisons en font une cible de choix. La première est sa diffusion : une faille exploitable sans compte se transforme vite en attaque automatisée à grande échelle. La seconde tient à sa fonction : le code qui gère la connexion et la 2FA décide directement qui entre dans l’administration. Une erreur à cet endroit ne fuit pas une donnée secondaire, elle ouvre la porte.
La chronologie des failles, de 2024 à septembre 2026
La base WPScan recense 13 vulnérabilités pour cette extension, toutes publiées à partir d’avril 2024 : aucune entrée plus ancienne n’y figure. Patchstack en liste 12, car il considère deux identifiants de septembre 2026 comme la même faille. Dix des treize entrées datent de 2026, et cinq d’entre elles concernent la double authentification.
| Publication | Corrigée en | Type | CVSS | CVE | Compte requis | Exploitation |
|---|---|---|---|---|---|---|
| 16 avril 2024 | 8.0.0 | Requête forgée côté serveur (SSRF) | 5,5 | CVE-2024-31229 | Administrateur | Aucune documentée |
| 14 novembre 2024 | 9.1.2 (touchées : 9.0.0 à 9.1.1.1, gratuite, Pro, Pro Multisite) | Contournement d’authentification (2FA activée) | 9,8 | CVE-2024-10924 | Aucun | Code public ; tentatives observées par CrowdSec |
| 24 janvier 2025 | 9.2.0 | Falsification de requête (CSRF) | 4,3 | CVE-2025-24623 | Aucun (clic d’un administrateur) | Aucune documentée |
| 15 mars 2026 | 9.5.8 | Contrôle d’accès manquant | 4,3 | CVE-2026-32461 | Abonné | Aucune documentée |
| 12 mai 2026 | 9.5.10.1 | Contournement du second facteur e-mail | 7,5 (WPScan) | CVE-2026-8293 | Aucun, mot de passe connu | Aucune documentée |
| 3 juin 2026 | 9.5.10 | Contrôle d’accès manquant | 6,5 (WPScan 4,3) | CVE-2026-48969 | Abonné | Aucune documentée |
| 3 juin 2026 | 9.5.10.1 | Authentification défaillante | 8,1 (WPScan 5,3) | CVE-2026-48970 | Aucun, mot de passe connu | Aucune documentée |
| 28 août 2026 | 9.8.0 | Installation d’extension arbitraire en multisite | 6,6 (WPScan) | CVE-2026-81766 | Administrateur de sous-site | Aucune documentée |
| 2 septembre 2026 | 9.8.1 | Déni de service | 5,3 (WPScan 7,5) | CVE-2026-84775 | Aucun | Aucune documentée |
| 2 septembre 2026 | 9.8.1 | Contournement de la 2FA | 7,4 (WPScan 7,5) | CVE-2026-84777 | Aucun | Aucune documentée |
| 11 septembre 2026 | 9.8.1 (touchées : 9.5.10.1 à 9.8.0) | Réinitialisation de la 2FA e-mail | 7,5 (WPScan) | CVE-2026-89080 | Aucun, mot de passe connu | Aucune documentée |
| 14 septembre 2026 | 9.8.2 | Délai de grâce 2FA prolongé indéfiniment | 4,3 | CVE-2026-82519 | Abonné | Aucune documentée |
| 16 septembre 2026 | 9.8.3 (touchées : 8.1.6 à 9.8.2) | Croissance illimitée d’une option (déni de service) | 6,5 (WPScan) | CVE-2026-88798 | Aucun | Aucune documentée |
Deux écarts de notation méritent d’être signalés. Pour CVE-2026-48970, Patchstack retient 8,1 alors que WPScan et Wordfence affichent 5,3. Pour le déni de service CVE-2026-84775, c’est l’inverse : 5,3 chez Patchstack, 7,5 chez WPScan. Le score dépend de l’hypothèse retenue sur les conditions d’attaque, d’où l’intérêt de lire la description plutôt que le seul chiffre.
Les failles marquantes expliquées
Novembre 2024 : CVE-2024-10924, la connexion sans mot de passe
C’est la faille la plus grave de l’historique, notée 9,8. Dans les versions 9.0.0 à 9.1.1.1, une route de l’API REST liée à la 2FA connectait l’utilisateur demandé même quand le jeton de vérification était invalide. Un visiteur anonyme pouvait ainsi ouvrir une session administrateur, à condition que la 2FA soit activée sur le site (elle ne l’est pas par défaut). István Márton, de Wordfence, l’a signalée le 6 novembre 2024 ; la version 9.1.2 est sortie le 12 novembre pour les éditions Pro et le 14 novembre pour l’édition gratuite, avec une mise à jour forcée orchestrée avec l’équipe des extensions de wordpress.org. Nous avons détaillé le mécanisme et la réaction dans notre analyse de la faille CVE-2024-10924.
Un code d’exploitation a été publié peu après la divulgation. Le traqueur de CrowdSec indique avoir observé une première exploitation réelle le 25 novembre 2024, tout en précisant ne pas avoir relevé d’activité significative sur son réseau. La faille ne figure pas dans le catalogue KEV de la CISA.
Mai et juin 2026 : le second facteur contourné avec le mot de passe
En 2026, la 2FA de l’extension est redevenue le principal point faible, mais avec un scénario différent. CVE-2026-8293, publiée par WPScan le 12 mai et signalée par John Umoru, décrit deux points d’accès REST de la 2FA qui n’exigeaient pas réellement le code envoyé par e-mail : un attaquant qui connaissait déjà le mot de passe d’un compte obtenait une session sans passer le second facteur. CVE-2026-48970, signalée à Patchstack le 17 avril et publiée le 3 juin, relève du même type (authentification défaillante, mot de passe de la victime nécessaire selon Patchstack). Les deux sont corrigées par la version 9.5.10.1 du 29 avril 2026, dont le journal des modifications mentionne une mise à jour du parcours de connexion 2FA.
Ces failles n’ouvrent pas un site à n’importe qui. Elles annulent en revanche la protection pour laquelle la 2FA existe : bloquer un attaquant qui a obtenu un mot de passe par fuite, hameçonnage ou réutilisation. Le correctif était disponible plusieurs semaines avant la publication des fiches, ce qui a laissé de l’avance aux sites mis à jour automatiquement.
Août 2026 : installer une extension depuis un sous-site
CVE-2026-81766, signalée par Charles Vosburgh et publiée par WPScan le 28 août 2026, ne concerne que les réseaux multisites. La fonction d’installation d’extensions recommandées (rsp_upgrade_install_plugin) ne vérifiait pas que l’utilisateur avait le droit d’installer des extensions. L’administrateur d’un simple sous-site pouvait donc déposer et exécuter du code dans le dossier d’extensions partagé par tout le réseau, un droit normalement réservé au super administrateur. Condition importante : le super administrateur doit avoir ouvert le menu Extensions aux sous-sites, ce qui n’est pas le réglage par défaut. Correctif : 9.8.0, publiée le 25 août 2026.
Septembre 2026 : trois versions correctives en quinze jours
Début septembre, plusieurs chercheurs ont visé la même zone du code, et l’éditeur a enchaîné les versions 9.8.1 (1er septembre), 9.8.2 (14 septembre) et 9.8.3 (15 septembre).
- Contournement de la 2FA sans compte (CVE-2026-84777) : signalé à Patchstack par Ananda Dhakal le 20 août, corrigé en 9.8.1 et publié le 2 septembre, noté 7,4. Patchstack précise qu’une autre autorité a publié le même problème sous CVE-2026-89080, décrit par WPScan comme la réinitialisation, sans authentification, d’une inscription 2FA par e-mail déjà terminée, ce qui permet à un attaquant connaissant le mot de passe d’obtenir la session, jusqu’au niveau administrateur. Selon WPScan, cette dernière touche les versions à partir de 9.5.10.1.
- Déni de service sans compte (CVE-2026-84775) : signalé par le même chercheur, corrigé dans la même version 9.8.1.
- Délai de grâce prolongé (CVE-2026-82519) : un utilisateur connecté, même abonné, pouvait remettre à zéro le délai accordé avant l’activation obligatoire de sa 2FA, et repousser cette obligation indéfiniment. Corrigé en 9.8.2.
- Option gonflée par de fausses adresses IP (CVE-2026-88798) : le module qui surveille les erreurs 404 enregistrait l’adresse IP déclarée par le client comme clé d’une option, sans validation. Un visiteur anonyme pouvait faire grossir cette option sans limite et ralentir le traitement des pages introuvables. Corrigé en 9.8.3.
Le journal de la version 9.8.3 mentionne aussi la correction d’un « contournement 2FA restant dans l’authentification XML-RPC », sans fiche de vulnérabilité associée dans les bases consultées.
Les failles mineures
Le reste de l’historique est d’une gravité moyenne : une SSRF exploitable seulement par un administrateur (2024, signalée par Ananda Dhakal de Patchstack), une CSRF qui suppose de piéger un administrateur (2025) et deux contrôles d’accès manquants accessibles à un simple abonné (mars et juin 2026). Sur un site sans inscription publique, le risque des failles « abonné » reste limité, mais il devient réel sur une boutique ou un site de membres.
Ce que montre cet historique
- La 2FA concentre les failles. Une critique en 2024, puis cinq fiches en 2026 (CVE-2026-8293, 48970, 84777, 89080 et 82519) portent sur le second facteur ou son obligation. La version 9.5.10.1, qui corrigeait le parcours de connexion 2FA, est elle-même touchée par CVE-2026-89080 selon WPScan : le code d’authentification est le plus délicat d’une extension de sécurité.
- L’explosion de 2026 reflète aussi l’attention des chercheurs. Dix fiches en neuf mois, venues de Patchstack, WPScan et VulnCheck, souvent dans le cadre de programmes de récompense. Plus de signalements ne veut pas dire un code plus mauvais qu’ailleurs, mais une extension très installée et liée à la sécurité est examinée de près.
- Les correctifs arrivent vite. Huit jours entre le signalement et le correctif pour CVE-2024-10924, douze jours pour CVE-2026-48970, douze jours aussi pour CVE-2026-84777. Dans plusieurs cas, la version corrigée est sortie avant la publication de la fiche.
- La mise à jour forcée reste l’exception. Elle est documentée en 2024 pour la faille critique ; nous n’avons trouvé aucune mention d’une mise à jour forcée pour les failles de 2026. Les sites sans mises à jour automatiques sont donc restés exposés jusqu’à l’intervention de leur administrateur.
- Un avantage relatif des contournements de 2026 : la plupart supposent que l’attaquant connaisse déjà le mot de passe. Un mot de passe unique et robuste limite donc leur portée, ce qui n’était pas le cas en 2024.
Ce schéma n’a rien de propre à Really Simple Security : notre chronologie des versions de sécurité du cœur de WordPress et nos chiffres sur les extensions vulnérables montrent que tous les logiciels très diffusés connaissent ce rythme. Ce qui compte est la vitesse à laquelle le correctif atteint votre site.
Se protéger
- Vérifiez la version dans Extensions : 9.8.3 ou ultérieure corrige toutes les failles listées ici. Avec une édition Pro, assurez-vous que la licence est active, car une licence expirée ne reçoit plus les mises à jour.
- Activez les mises à jour automatiques pour cette extension, comme expliqué dans notre guide sur les mises à jour automatiques des extensions. Les failles de 2026 montrent qu’il ne faut pas compter sur une mise à jour forcée.
- Gardez la 2FA, mais ne la considérez pas comme la seule barrière : des mots de passe uniques et la limitation des tentatives de connexion réduisent l’intérêt des contournements qui supposent un mot de passe connu. Notre article sur la double authentification détaille les bonnes pratiques.
- Évitez les doublons : si une autre extension assure déjà la 2FA ou la sécurité de la connexion, désactivez la fonction en double ou supprimez l’extension inutile (voir extensions abandonnées et inutiles). Moins de code actif, c’est moins de surface d’attaque.
- Ajoutez un pare-feu applicatif capable de correctifs virtuels (comparatif des WAF). En 2024, Wordfence a diffusé une règle le 6 novembre pour ses clients payants et le 6 décembre pour la version gratuite ; Patchstack indique en revanche qu’aucun correctif virtuel n’était possible pour CVE-2026-48970 ou CVE-2026-84777.
- Surveillez les failles publiées pour les extensions installées, comme décrit dans notre article sur la surveillance des vulnérabilités.
WP Masquerade Pro peut vous aider sur ce dernier point, sans se substituer aux mises à jour. Il compare chaque jour les versions installées de vos extensions et thèmes avec la base publique WPVulnerability.net et vous envoie une alerte de vulnérabilité par e-mail avec la gravité et la version corrigée. Les mises à jour en attente et les sites vulnérables apparaissent dans l’espace membre (surveillance des sites). WP Masquerade ne corrige pas les failles et n’est pas un pare-feu : il vous prévient pour que vous appliquiez le correctif à temps. Pour comparer les extensions de sécurité, consultez notre sélection des meilleurs plugins de sécurité WordPress.
À retenir
- 13 failles publiées dans WPScan d’avril 2024 au 24 septembre 2026, dont 10 en 2026.
- Une seule critique : CVE-2024-10924 (9,8), corrigée en 9.1.2 avec mise à jour forcée.
- Cinq fiches de 2026 concernent la double authentification ; la plupart supposent un mot de passe déjà connu.
- Version minimale recommandée au 24 septembre 2026 : 9.8.3.
- Mises à jour automatiques, mots de passe uniques et surveillance des failles restent les meilleures parades.
Sources
- WordPress.org : Really Simple Security, journal des modifications (versions 9.1.2 à 9.8.3) (lien externe, nouvel onglet)
- NVD : CVE-2024-10924 (15 novembre 2024) (lien externe, nouvel onglet)
- CVE.org : CVE-2024-31229, Really Simple SSL jusqu’à 7.2.3 SSRF (18 avril 2024) (lien externe, nouvel onglet)
- CISA : Known Exploited Vulnerabilities Catalog (lien externe, nouvel onglet)
Autres sources consultées : autres fiches CVE, pages officielles des éditeurs, publications de chercheurs en sécurité, bases Wordfence, WPScan et Patchstack.
