Résumé
Le 16 octobre 2026, une faille critique dans le plugin WordPress MailOptin permet à un attaquant non authentifié d’assumer le contrôle total d’un compte WordPress existant, y compris ceux d’administrateurs. Cette vulnérabilité, référencée sous CVE-2026-109515, exploite une faille d’élévation de privilèges : en manipulant un paramètre mal protégé dans un formulaire d’inscription, il est possible de modifier arbitrairement les données d’un utilisateur existant (comme son identifiant ou son mot de passe). Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées.
Solutions
Mettez à jour le plugin MailOptin vers la dernière version disponible (précédemment limitée à 1.2.78.6), ou retirez-le immédiatement de votre site pour limiter les risques.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Code d exploitation disponible : Non
Systèmes affectés
MailOptin – Popup, Optin Forms & Email Newsletters pour Mailchimp, HubSpot, AWeber, etc. (versions jusqu’à 1.2.78.6)
Documentation
• NIST NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-109515 (https://nvd.nist.gov/vuln/detail/CVE-2026-109515)
• CVE Details : https://www.cvedetails.com/cve/CVE-2026-109515/ (https://www.cvedetails.com/cve/CVE-2026-109515/)
• Référence CVE : https://www.cve.org/CVERecord?id=CVE-2026-109515 (https://www.cve.org/CVERecord?id=CVE-2026-109515)