Faille Duplicator (CVE-2026-82814) : un commentaire piégé peut prendre le contrôle d'un site pendant sa migration

Comment un commentaire peut prendre le contrôle du site

Pour déplacer un site, Duplicator remplace l'ancienne adresse par la nouvelle dans toute la base de données. Certaines valeurs y sont stockées sous une forme que PHP sait reconstruire en objets. Jusqu'à la version 1.5.17, l'installeur reconstruisait ces objets sans vérifier leur type : c'est ce qu'on appelle une injection d'objet PHP.

L'attaque se déroule en trois temps, et seul le premier demande l'intervention de l'attaquant :

1. un visiteur, sans compte, publie un commentaire qui contient un objet PHP encodé. Même en attente de validation, le commentaire est enregistré dans la base ;
2. un administrateur crée une archive du site avec Duplicator : le commentaire y entre ;
3. l'administrateur utilise cette archive pour une migration ou un import. À l'étape de mise à jour des données, l'installeur reconstruit l'objet, qui s'exécute.

Ce que l'attaquant obtient

• Duplicator gratuit : l'exécution de commandes sur le serveur, avec les droits du serveur web. Il peut alors déposer une porte dérobée, lire les fichiers ou supprimer ce qu'il veut.
• Duplicator Pro : la suppression d'un fichier de son choix. Supprimer wp-config.php fait réapparaître l'assistant d'installation de WordPress : l'attaquant qui y arrive le premier peut le relier à sa propre base, créer un administrateur et installer une extension qui exécute son code.

Êtes-vous concerné ? Trois situations

Vous gérez plusieurs sites

Les agences migrent souvent : mise en ligne d'une préproduction, changement d'hébergeur, copie pour un client. Commencez par l'inventaire des sites qui utilisent Duplicator et de leur version, puis repérez les migrations faites avec une version touchée.

wp plugin list --fields=name,version,status | grep -i duplicator

Que faire maintenant

wp plugin list --fields=name,version,status | grep -i duplicator
wp plugin update duplicator

Repérer un commentaire piégé

Le chercheur a caché l'objet en base64 dans le texte du commentaire. Un objet PHP encodé ainsi commence par Tzo. Cette requête liste les commentaires qui en contiennent, quel que soit leur statut. Adaptez le préfixe wp_ à votre base.

wp db query "SELECT comment_ID, comment_date, comment_approved
  FROM wp_comments
  WHERE comment_content LIKE '%Tzo%' OR comment_content LIKE '%O:%:\"%'"

Un résultat n'est pas une preuve d'attaque : ces trois lettres peuvent apparaître par hasard. Lisez le commentaire avant de conclure, et conservez-le s'il est suspect, sans le valider.

Les indices à vérifier, et ce que notre scan en voit

Nous indiquons pour chaque indice ce que Genisoft Security détecte réellement aujourd'hui, sans arrondir. Pour cette faille, l'essentiel se vérifie à la main ; le scan sert surtout à repérer ce qu'une attaque réussie aurait laissé derrière elle.

Ce que cette faille rappelle sur les sauvegardes

Pour aller plus loin, notre checklist pour sécuriser WordPress reprend les gestes qui réduisent vraiment le risque, et notre guide sur les extensions vulnérables explique comment elles deviennent une porte d'entrée.

Questions fréquentes

Chronologie et sources

• Wordfence, avis sur l'injection d'objet PHP dans Duplicator, 20 octobre 2026 (en anglais). Source de référence pour le fonctionnement, les versions et la chronologie.
• Fiche CVE-2026-82814 (en anglais) : description, versions touchées et vecteur CVSS.
• Duplicator, journal des versions, et page de l'extension sur WordPress.org (en anglais).

L'avis de Wordfence peut évoluer : il reste la référence en cas d'écart avec cette page, dont la date de mise à jour figure en tête d'article.