Mis à jour le 1er novembre 2026. Ajout d’un tableau de neuf failles publiées dans des extensions WordPress liées à l’IA, avec numéro CVE, versions touchées et score, vérifiées sur les enregistrements CVE officiels. Ajout de ce que changent les connecteurs d’IA de WordPress 7.0 et Ask AI de PrestaShop 9.2, d’une section sur la clé d’API et de la référence OWASP sur l’injection de prompt. Les commandes de mesure de la charge serveur ont été conservées et resserrées.
Une extension d’IA ajoute trois choses à un site WordPress ou PrestaShop : un secret (la clé d’API du fournisseur), un flux de données vers un tiers, et parfois une charge de calcul sur votre serveur. Chacune peut mal tourner. Les failles publiées en 2025 et 2026 montrent un quatrième risque, plus récent : les extensions qui donnent à un agent d’IA le droit d’agir sur le site.
Cet article recense des failles réelles, explique ce qu’elles enseignent et donne une méthode d’audit applicable avant et après l’installation.
Ce qui a changé en 2026
Deux évolutions des CMS modifient la façon d’évaluer ces extensions.
- WordPress 7.0, sorti le 20 mai 2026, intègre un client d’IA dans le cœur et un écran Réglages > Connecteurs où l’on enregistre les clés des fournisseurs. Une extension récente peut s’appuyer sur ce mécanisme commun au lieu de stocker sa propre clé dans ses réglages.
- PrestaShop 9.2.0, publié fin septembre 2026, ajoute Ask AI (module
ps_ask_ai), un assistant du back-office compatible avec Gemini, Anthropic, OpenAI et Mistral, qui demande l’accord du marchand avant d’agir sur la boutique. Notre article sur Ask AI et le serveur MCP de PrestaShop détaille son fonctionnement.
Ces briques natives ne suppriment pas le risque. Elles déplacent la question : quelles extensions tierces gardent encore leurs propres clés, et lesquelles donnent à un agent des droits d’écriture ?
Failles publiées : neuf cas vérifiés
Le tableau suivant reprend des vulnérabilités publiées par Wordfence, autorité d’attribution de CVE pour l’écosystème WordPress, et vérifiées sur les enregistrements CVE officiels le 1er novembre 2026. Le score est le CVSS 3.1 attribué par le déclarant.
| CVE | Extension | Versions touchées | Nature | CVSS | Publiée le |
|---|---|---|---|---|---|
| CVE-2024-10392 | AI Power (devenue AI Puffer) | jusqu’à 1.8.89 | Téléversement de fichiers sans authentification, exécution de code possible | 9.8 | 31/10/2024 |
| CVE-2025-5071 | AI Engine | 2.8.0 à 2.8.3 | Accès complet au serveur MCP dès le rôle abonné, élévation de privilèges | 8.8 | 19/06/2025 |
| CVE-2025-7780 | AI Engine | jusqu’à 2.9.4 | Lecture de fichiers du serveur et exfiltration via l’intégration OpenAI (abonné) | 6.5 | 24/07/2025 |
| CVE-2025-11749 | AI Engine | jusqu’à 3.1.3 | Jeton MCP exposé sans authentification, création possible d’un administrateur | 9.8 | 05/11/2025 |
| CVE-2025-12360 | Better Find and Replace | jusqu’à 1.7.7 | Un abonné peut consommer le quota OpenAI du site | 4.3 | 06/11/2025 |
| CVE-2025-14980 | BetterDocs | jusqu’à 4.3.3 | Clé OpenAI lisible par un contributeur | 6.5 | 09/01/2026 |
| CVE-2026-1336 | AI ChatBot with ChatGPT (AYS) | jusqu’à 2.7.5 | Lecture, modification ou suppression de la clé sans authentification | 5.3 | 02/03/2026 |
| CVE-2026-2589 | Greenshift | jusqu’à 12.8.3 | Clés OpenAI, Claude, Gemini, DeepSeek exposées dans une sauvegarde publique | 5.3 | 05/03/2026 |
| CVE-2026-8719 | AI Engine | 3.4.9 | Élévation de privilèges via le jeton OAuth du serveur MCP (abonné) | 8.8 | 17/05/2026 |
Pour AI ChatBot de AYS, l’enregistrement CVE précise que la correction était partielle en 2.7.5 et complète en 2.7.6.
Ce que ces failles enseignent
- Les fonctions d’agent sont la zone la plus sensible. Trois failles d’AI Engine concernent son serveur MCP, le protocole qui permet à un modèle d’appeler des outils du site. Quand un outil peut créer un utilisateur ou modifier une option, un défaut d’autorisation devient une prise de contrôle. Le correctif de CVE-2025-5071 n’a pas empêché deux nouvelles failles dans la même fonction.
- La clé d’API est une cible en soi. Quatre cas exposent ou laissent utiliser la clé du site. L’attaquant n’a pas besoin de pirater le serveur : il consomme votre crédit ou réutilise la clé ailleurs.
- Le rôle « abonné » ne protège pas. Plusieurs failles s’exploitent avec un simple compte abonné. Sur un site où l’inscription est ouverte (WooCommerce, forum, espace membre), ce compte s’obtient en une minute.
- Une extension non dédiée à l’IA peut porter le risque. BetterDocs et Greenshift ne sont pas des extensions d’IA, mais elles stockent des clés de fournisseurs.
Risque 1 : la clé d’API
Une clé de fournisseur d’IA donne accès à un compte facturé à l’usage. Traitez-la comme un mot de passe de production.
| Vérification | Pourquoi |
|---|---|
| Une clé dédiée par site | Révocation possible sans couper les autres sites |
| Plafond de dépense chez le fournisseur | Limite la perte en cas de vol ou d’abus |
| Clé jamais présente dans le HTML ou le JavaScript | Une clé visible côté navigateur est publique |
| Sauvegardes de réglages non accessibles publiquement | Cas de CVE-2026-2589 |
| Rotation après toute faille de l’extension | Une clé exposée doit être considérée comme compromise |
| Suivi de la consommation | Une hausse sans hausse du trafic signale un abus |
Pour vérifier qu’une clé n’apparaît pas dans les pages publiques ou dans un fichier accessible :
curl -s https://votre-site.exemple/ | grep -oE 'sk-[A-Za-z0-9_-]{10,}|AIza[0-9A-Za-z_-]{20,}'
curl -s https://votre-site.exemple/wp-json/ | grep -ioE 'token|api[_-]?key|bearer' | sort | uniq -cLa deuxième commande liste les mentions suspectes dans l’index public de l’API REST de WordPress, là où le jeton de CVE-2025-11749 était exposé.
Risque 2 : les données envoyées
Chaque appel transmet du contenu au fournisseur : texte d’une fiche produit, message d’un client, parfois une adresse e-mail ou un numéro de commande. Avant l’installation, obtenez par écrit :
- la liste des champs envoyés et la présence éventuelle de données personnelles ;
- le lieu de traitement, les sous-traitants et l’existence d’un contrat de sous-traitance (DPA) ;
- la durée de conservation des prompts et des réponses, côté extension et côté fournisseur ;
- la possibilité de filtrer les données personnelles avant l’appel.
Un envoi de données personnelles à un tiers doit reposer sur une base légale au sens du RGPD et figurer dans votre registre des traitements.
Un chatbot qui lit vos pages, vos avis clients ou des documents téléversés est en outre exposé à l’injection de prompt indirecte, classée en tête du Top 10 OWASP pour les applications de modèles de langage (LLM01:2025). Des instructions cachées dans un contenu peuvent modifier son comportement. Si ce chatbot dispose d’outils capables d’écrire sur le site, le risque rejoint celui des failles MCP ci-dessus.
Risque 3 : la charge serveur
Une extension qui appelle une API calcule peu, mais un appel synchrone pendant l’affichage d’une page bloque un processus PHP le temps de la réponse. Une extension qui traite localement (modèle embarqué, génération d’images, transcription) consomme CPU et mémoire. Relevez une référence avant activation, puis comparez pendant une action de l’extension :
uptime && free -h
vmstat 1 5
ss -tnp state established
curl -s -o /dev/null -w 'TLS: %{time_appconnect}s | premier octet: %{time_starttransfer}s | total: %{time_total}s\n' https://api.exemple.com/v1/endpointDes valeurs non nulles et répétées dans les colonnes si et so de vmstat indiquent un manque de mémoire ; ss montre vers quelle adresse partent les connexions. Les mesures d’atténuation sont connues : mettre en cache les réponses validées, déplacer les traitements longs dans une file traitée par cron, fixer un délai d’attente court. Notre article sur la performance serveur des CMS face à l’IA et le diagnostic d’un serveur PrestaShop surchargé détaillent ces réglages.
Le cas de PrestaShop
Au 1er novembre 2026, nous n’avons pas trouvé, dans les avis de sécurité publiés par Friends of Presta, de faille attribuée à un module d’IA pour PrestaShop. Cela ne prouve pas leur absence : beaucoup de modules sont vendus hors de la place de marché officielle et ne sont audités par personne. Les avis publiés pour d’autres modules PrestaShop, où les injections SQL reviennent souvent, invitent à appliquer les mêmes contrôles que sur WordPress.
Ask AI réduit une partie du risque grâce à l’accord demandé avant chaque action, mais cet accord ne vaut que si l’utilisateur lit ce qu’il approuve. Limitez l’accès au back-office aux profils qui en ont besoin, et maintenez PHP à jour : PrestaShop 9.1 accepte PHP 8.1 à 8.5, et deux failles critiques de PHP ont été corrigées le 21 octobre 2026 (détails).
Checklist avant d’installer une extension d’IA
- Historique de sécurité de l’extension consulté (Wordfence, Patchstack, WPScan)
- Fonctions d’agent ou MCP désactivées si elles ne servent pas
- Inscription publique fermée, ou rôles abonnés sans accès aux fonctions d’IA
- Clé dédiée, plafond de dépense, rotation prévue
- Données envoyées listées, DPA obtenu, registre RGPD à jour
- Charge mesurée en préproduction avant la production
- Mises à jour automatiques ou surveillance des correctifs activées
Pour surveiller les tentatives d’exploitation dans vos journaux, voir détecter les attaques dans les logs WordPress.
FAQ
Une extension d’IA est-elle plus dangereuse qu’une autre extension ?
Pas par nature. Elle ajoute cependant un secret facturé à l’usage et, de plus en plus, des fonctions d’agent capables d’écrire sur le site. Les failles les plus graves du tableau (CVSS 9.8) concernent un téléversement de fichiers et un jeton d’agent exposé.
Que faire si une extension que j’utilise est touchée par une CVE ?
Mettez à jour vers la version corrigée, ou désactivez l’extension en attendant. Révoquez ensuite la clé d’API chez le fournisseur et créez-en une nouvelle, vérifiez la liste des comptes administrateurs et la facture du fournisseur sur la période concernée.
Les connecteurs de WordPress 7.0 rendent-ils les extensions d’IA plus sûres ?
Ils évitent que chaque extension stocke sa propre clé à sa manière, ce qui réduit les cas comme BetterDocs ou Greenshift. Ils ne protègent pas contre une extension qui expose des fonctions d’agent sans contrôle de droits.
Faut-il préférer un modèle local pour éviter l’envoi de données ?
Un modèle local garde les données sur votre infrastructure, mais il consomme CPU, mémoire et parfois GPU. Sur un hébergement mutualisé, c’est rarement possible. Comparez la sensibilité des données avec le coût d’un serveur capable de faire tourner le modèle.
Sources
- Enregistrements CVE (API CVE Services de MITRE, consultée le 1er novembre 2026) : CVE-2024-10392, CVE-2025-5071, CVE-2025-7780, CVE-2025-11749, CVE-2025-12360, CVE-2025-14980, CVE-2026-1336, CVE-2026-2589, CVE-2026-8719 — https://cveawg.mitre.org/api/cve/
- Wordfence, AI Engine <= 3.1.3 - Unauthenticated Sensitive Information Exposure to Privilege Escalation : https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ai-engine/ai-engine-313-unauthenticated-sensitive-information-exposure-to-privilege-escalation
- Wordfence, 10,000 WordPress Sites Affected by Arbitrary File Upload Vulnerability in AI Power (octobre 2024) : https://www.wordfence.com/blog/2024/10/10000-wordpress-sites-affected-by-arbitrary-file-upload-vulnerability-in-ai-power-complete-ai-pack-wordpress-plugin/
- OWASP GenAI Security Project, LLM01:2025 Prompt Injection : https://genai.owasp.org/llmrisk/llm01-prompt-injection/
- Friends of Presta, avis de sécurité : https://github.com/friends-of-presta/security-advisories
