Résumé
Le 24 septembre 2026, une faille critique a été découverte dans le plugin Visual Composer Website Builder pour WordPress. Cette vulnérabilité, classée sous CVE-2026-12227, permet à un attaquant non authentifié d’inclure et d’exécuter des fichiers arbitraires sur le serveur via une manipulation de paramètres. Cela peut permettre de contourner les contrôles d’accès, d’accéder à des données sensibles ou d’exécuter du code malveillant, même lorsque des fichiers "sûrs" (comme des images) sont uploadés. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées et un code d’exploitation public est disponible.
Solutions
Il est recommandé d’appliquer les correctifs officiels publiés par le fournisseur pour patcher cette vulnérabilité.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.8/10
EPSS : 2.87%
Référencée comme KEV : Oui
Code d exploitation disponible : Oui
Date d’ajout au KEV : 10/10/2026
Systèmes affectés
Visual Composer Website Builder : jusqu’à la version 45.16.0 (inclus)
Documentation
• NIST NVD