Ce texte a été généré par l'intelligence artificielle (IA).CVE-2026-61992 concerne le plugin WordPress GEO my WP jusqu'à la version 4.5.5.3. Patchstack évalue la vulnérabilité avec un score CVSS de 9.8. Une version corrigée 4.5.5.5 a été publiée.
Mes systèmes sont-ils concernés ? Vérifier maintenant →
En bref :
| Produit / Composant | Versions concernées | Intégré dans |
|---|---|---|
| GEO my WP | <= 4.5.5.3 | 4.5.5.5 |
La vulnérabilité concerne le traitement des paramètres de formulaire via les fonctions d'importation et d'exportation. Selon Patchstack, des données non fiables peuvent être désérialisées. L'erreur est classée comme CWE-502 .
Aucune connexion n'est requise pour le chemin d'attaque documenté. Cela permet d'instancier des objets PHP via des données désérialisées. Patchstack classe CVE-2026-61992 avec un score CVSS de 9.8.
Le plugin est fourni via le dépôt de plugins WordPress.org. Les organisations devraient donc également inclure les stocks de plugins dans leurs évaluations de vulnérabilité.
Le fabricant a publié GEO my WP 4.5.5.5 à la mi-octobre 2026. La documentation CVE a été publiée fin octobre 2026. Selon Patchstack, les versions jusqu'à 4.5.5.3 incluse sont affectées.
Les installations de WordPress où GEO my WP est utilisé et qui sont accessibles sur Internet sont particulièrement pertinentes pour le traitement. Étant donné que le chemin d'attaque décrit ne nécessite pas d'authentification, ces systèmes devraient être prioritaires lors de la mise à jour.
Étapes recommandées :
La vulnérabilité a été signalée par Ayukiab, coordonnée via Patchstack.
Les organisations en Allemagne et en Autriche exploitant des instances WordPress contenant des données personnelles doivent vérifier l'obligation de notification de 72 heures selon l'article 33 du RGPD auprès de l'autorité de protection des données compétente en cas d'exploitation réussie. Pour les établissements soumis à la NIS-2 en Allemagne et en Autriche — notamment dans les secteurs des infrastructures numériques ou de l'administration —, il existe en outre l'obligation de signaler les incidents de sécurité significatifs à l'autorité nationale concernée. Les organisations suisses sont soumises à la loi révisée sur la sécurité de l'information (ISG) avec obligation de notification auprès du Bureau fédéral de la cybersécurité (BACS).
GEO my WP peut être utilisé comme composant d'une application web sous un domaine client. Les caractéristiques techniques des plugins WordPress peuvent être identifiables sur Internet, par exemple via des chemins de plugins ou des mentions de version dans les réponses.
LocateRisk peut rendre visibles les actifs clients accessibles externément ainsi que les logiciels utilisés et identifier et prioriser les installations de GEO-my-WP concernées chez les propres actifs ou les tiers surveillés. La plateforme ne détermine pas nécessairement la version concrètement vulnérable. Pour l'évaluation de CVE-2026-61992, il reste donc nécessaire de vérifier l'état réel des logiciels déployés.
Pour les tiers surveillés, la gestion des risques fournisseurs complète l'attribution des applications web et des dépendances technologiques. Cela soutient l'évaluation documentée des responsabilités concernant les applications exploitées par des tiers concernés.
C'est GEO my WP dans les versions mentionnées ci-dessus qui est concerné ; la vulnérabilité a été corrigée dans 4.5.5.5. Ceux qui souhaitent savoir si GEO my WP est visible dans leur infrastructure accessible externement peuvent consulter le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
CVE-2026-61992 désigne une vulnérabilité de type PHP Object Injection dans le plugin WordPress GEO my WP. Elle est basée sur la désérialisation non sécurisée de données (CWE-502) dans le cadre de la fonction d'importation et d'exportation des paramètres de formulaire et est évaluée avec un score CVSS de 9.8.
Selon Patchstack, les versions jusqu'à 4.5.5.3 inclus sont concernées. La version corrigée 4.5.5.5 a été publiée par le fabricant à la mi-octobre 2026.
Les installations concernées doivent être mises à jour vers GEO my WP 4.5.5.5 ou une version supérieure dès que possible. Étant donné que le vecteur d'attaque ne nécessite pas d'authentification, les instances WordPress accessibles via Internet avec le plugin doivent être mises à jour en priorité.
Date : 29.10.2026. Cet article est à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action au cas par cas. La situation en matière de sécurité et la disponibilité des patchs peuvent avoir changé depuis la publication ; l'avis du fabricant lié reste toujours déterminant. Malgré des recherches minutieuses, nous n'assumons aucune garantie quant à l'actualité, l'exactitude et l'exhaustivité.
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Français 
Deutsch 
English