Link: https://www.it-connect.fr/backuply-cve-2026-93953-injection-sql-wordpress/

Un simple utilisateur avec le rôle d'abonné glisse quelques lignes dans sa biographie, un administrateur restaure une sauvegarde WordPress quelques jours plus tard... et le site web change de mains. C'est le scénario rendu possible par une faille dans Backuply, une extension installée sur plus de 600 000 sites. Voici ce qu'il faut retenir.

Backuply, développée par Softaculous, sert à sauvegarder, restaurer, migrer et cloner des sites WordPress. Le 15 octobre 2026, Wordfence a publié un bulletin de sécurité consacré à une vulnérabilité de type injection SQL, associée à la référence CVE-2026-93953 et à un score CVSS de 8,0 sur 10.

Elle affecte toutes les versions de cette extension jusqu'à la 1.5.8 incluse. Le correctif est disponible depuis le 1er octobre 2026 avec Backuply 1.5.9, dont le changelog mentionne la correction d'un problème lié au processus de restauration. Grâce à cette découverte remontée le 17 septembre dernier, le chercheur à l'origine de cette découverte a empoché une prime de 1 352 dollars.