Exposition des sites WordPress québécois au RCE de juillet 2026
Photo datée, collecte du 23 juillet 2026 au 24 juillet 2026. n = 2181 sites WordPress identifiés sur 5779 sites dont la plateforme a été déterminée. Méthodologie 2026.1.
Les chiffres de cette page sont figés. Ils ne changent pas après publication. Voir la méthodologie.
À J+7 de la divulgation, 8,8 % des sites WordPress de PME québécoises dont la version du cœur était connue exécutaient encore une version exposée au chaînage RCE wp2shell (CVE-2026-60137 et CVE-2026-63030).
n = 1666La correction a été plus rapide sur la branche la plus récente : 92 % des sites en 7.0.x avaient déjà appliqué le correctif (7.0.2 ou plus), contre 74 % en 6.9.x (6.9.5 ou plus).
n = 1210Version du cœur exposée au RCE de juillet 2026
L'exécution de code à distance (RCE, de l'anglais remote code execution) est la classe de faille la plus grave : elle permet à un attaquant d'exécuter son propre code sur le serveur qui héberge le site. La faille wp2shell du cœur de WordPress en est une.
Entonnoir : 2181 sites WordPress confirmés, dont 1666 à version connue (515 à version masquée, exclus du calcul plutôt que comptés comme non exposés), dont 147 sur une version exposée. Failles CVE-2026-60137 et CVE-2026-63030, divulguées le 17 juillet 2026, mesurées à J+7, corrigées dans 6.9.5 et 7.0.2. L'indicateur mesure une version exposée à une date, pas une compromission constatée. Les sites masquant leur version étant exclus, l'exposition réelle de l'ensemble est vraisemblablement plus basse que ce taux.
| Branche | Sites | Exposés | Non exposés |
|---|---|---|---|
| 6.9.x | 289 | 74 | 215 |
| 7.0.x | 921 | 73 | 848 |
| Autres branches (non touchées) | 456 | 0 | 456 |
| Total (version connue) | 1666 | 147 | 1519 |
Méthodologie et définitions
Échantillon de 5779 sites de PME québécoises réparti sur 8 secteur(s) d'activité et 12 région(s) administrative(s), analysé entre le 23 juillet 2026 et le 24 juillet 2026. Parmi eux, 2181 ont été identifiés sous WordPress.
- Publication de type Note, dérivée d'un échantillon de 5779 sites de PME québécoises (dont 2181 identifiés sous WordPress), issue de la même campagne et du même instrument que le Baromètre. Le profil de statistiques est restreint à l'angle mesuré ; la méthodologie complète de constitution de l'échantillon accompagne le Baromètre de la même campagne.
- Exposition au RCE du cœur WordPress : Exposition d'une version du cœur au chaînage RCE wp2shell, par comparaison de version. Dénominateur = sites WordPress à version connue ; les versions masquées sont exclues, jamais comptées comme non exposées. Mesure une version exposée à une date, pas une compromission. Biais plafond. Ce taux est vraisemblablement surestimé.
- Chaque indicateur porte son propre dénominateur concluant : un site non évaluable en est retiré, jamais compté comme un résultat négatif. Mesure passive, réalisée de l'extérieur, sans intrusion. Les chiffres sont un instantané daté.
- 810 site(s) non concluant(s) (pare-feu / challenge) ont été exclus des calculs.
Où en est votre site ?
L'Observatoire mesure la moyenne. Pour votre cas précis, lancez l'analyse gratuite.
Analyse gratuite →