Selon les informations communiquées, une soumission signalant cette faille a été reçue le 1er mars 2026. Le problème est d’autant plus préoccupant qu’il pourrait être exploité par des acteurs malveillants non authentifiés, c’est-à-dire sans même disposer d’un compte ou d’un accès préalable au site visé.

Concrètement, cette vulnérabilité ouvre la voie à la suppression de fichiers essentiels au bon fonctionnement d’un site WordPress. Parmi eux figure notamment le fichier wp-config.php, pièce maîtresse de l’architecture d’un site, puisqu’il contient les paramètres de connexion à la base de données ainsi que plusieurs éléments sensibles de configuration. Sa suppression peut suffire à désorganiser totalement un site, voire à créer une brèche plus large permettant une prise de contrôle.

Le risque ne se limite donc pas à une simple interruption de service. En rendant un site instable ou en le privant de ses fichiers critiques, la faille peut préparer le terrain à des scénarios beaucoup plus graves, comme une compromission complète du site ou l’exécution de code à distance. Autrement dit, ce qui pourrait sembler n’être qu’un problème technique de suppression de fichiers peut en réalité devenir la première étape d’une attaque beaucoup plus profonde.

Cette affaire rappelle une nouvelle fois une vérité souvent sous-estimée dans l’écosystème WordPress : la sécurité d’un site ne dépend pas seulement du cœur du CMS, mais aussi de la qualité et de la robustesse des extensions installées. Lorsqu’un plugin largement déployé présente une faiblesse de ce niveau, l’onde de choc potentielle dépasse largement le cercle des spécialistes pour toucher des milliers d’éditeurs, d’entreprises et de médias.

Pour les administrateurs de sites utilisant Perfmatters, la vigilance s’impose. La priorité est de vérifier immédiatement si une mise à jour de sécurité a été publiée, de contrôler l’intégrité des fichiers sensibles et de s’assurer que des sauvegardes récentes sont disponibles. Dans ce type de situation, la rapidité de réaction fait souvent la différence entre une simple alerte et une compromission majeure.