L’écosystème WordPress continue d’évoluer à un rythme soutenu. Ces dernières semaines, plusieurs extensions et thèmes parmi les plus utilisés ont publié des mises à jour importantes, nouvelles fonctions de gestion de sites, arrivée des passkeys, nouvelle génération d’Avada, mais également plusieurs correctifs de sécurité à installer sans trop attendre.
Voici les principales nouveautés à retenir en cette première quinzaine de septembre 2026.
ACF 6.8.10 : une mise à jour de sécurité recommandée à tous les utilisateurs
Advanced Custom Fields a publié le 10 septembre la version 6.8.10 d’ACF et ACF Pro. Il ne s’agit pas d’une simple version de maintenance, l’éditeur recommande explicitement à tous les utilisateurs de mettre à jour aussi rapidement que possible. Plusieurs mécanismes ont été renforcés, notamment les formulaires ACF utilisés en frontend, l’accès aux fichiers et aux contenus via l’API REST, les révisions ainsi que les contrôles appliqués aux fichiers PDF.
Parmi les modifications importantes, les formulaires frontend appliquent désormais systématiquement les validations de champs, y compris les champs obligatoires et les contrôles personnalisés utilisant acf/validate_value. Les champs Relationship, Post Object, Image, Gallery et File vérifient également les droits de lecture avant de renvoyer des contenus via l’API REST. Si ACF ou ACF Pro est installé sur un site, la version 6.8.10 est donc une mise à jour à privilégier.
Elementor lance Manage et vient concurrencer directement Divi Dash
Elementor ne se contente plus de son constructeur de pages. Depuis le 6 septembre, l’éditeur propose Elementor Manage, un tableau de bord permettant de superviser plusieurs sites WordPress depuis une seule interface. Il est même possible de l’utiliser sur des sites qui n’utilisent pas Elementor. La version gratuite permet notamment de connecter un nombre illimité de sites, de s’y connecter en un clic, de surveiller leurs performances avec Lighthouse et de détecter certaines vulnérabilités grâce à Patchstack.
Le principe rappelle fortement Divi Dash (lien aff), lancé par Elegant Themes dès 2024. Divi Dash permet lui aussi de gérer plusieurs sites WordPress, qu’ils utilisent Divi ou non, avec gestion centralisée des mises à jour, plugins, thèmes, utilisateurs et clients. La différence est aujourd’hui surtout dans le modèle proposé. Elementor réserve les mises à jour groupées, les restaurations en un clic et le nettoyage de base de données à l’abonnement Elementor One, alors que Divi Dash inclut déjà de nombreuses fonctions de maintenance dans l’espace membre Elegant Themes. Elementor se démarque en revanche avec l’intégration directe de Lighthouse et Patchstack.
Pour les freelances ou petites agences qui maintiennent plusieurs WordPress, cette concurrence est plutôt une bonne nouvelle. Elementor comme Elegant Themes cherchent désormais à devenir non seulement le constructeur utilisé pour créer le site, mais également l’outil depuis lequel on le maintient.
À noter que Elementor a aussi connu une actualité moins réjouissante cet été. Une vulnérabilité découverte dans le champ d’envoi de fichiers du module Forms d’Elementor Pro pouvait permettre, dans certaines conditions, l’envoi d’un fichier arbitraire sans authentification puis son exécution sur le serveur. Patchstack lui attribue un score CVSS de 9,0 et indique que le correctif a été intégré à Elementor Pro 4.2.2 publié le 19 août.
Le changelog officiel d’Elementor Pro confirme une amélioration de la sécurité du widget Form dans cette version. Les versions suivantes sont naturellement également corrigées : Elementor Pro est actuellement passé au-delà de cette version. C’est un bon rappel qu’un constructeur de pages très populaire constitue lui aussi une surface d’attaque importante et doit être maintenu aussi sérieusement que WordPress lui-même.
Divi 5 remplace progressivement certains plugins supplémentaires
Au fil de ses mises à jour, Divi 5 (lien aff) intègre directement des fonctions pour lesquelles il fallait auparavant installer, et parfois payer, une extension supplémentaire. C’est désormais le cas pour les carrousels avancés, les filtres dynamiques, les mega menus, les timelines, les tables des matières, les graphiques, certains boutons de paiement ou encore l’intégration SVG. Avec le Loop Builder et les modules de filtres, Divi peut par exemple gérer des listes filtrables d’articles, de produits ou de contenus personnalisés sans recourir systématiquement à un plugin spécialisé. (elegantthemes.com (lien aff))
Ces fonctions ne remplacent pas toujours les extensions spécialisées les plus avancées, mais elles permettent souvent d’éviter un plugin payant pour un besoin simple. C’est intéressant à la fois pour le coût du site et pour sa maintenance : moins de licences, moins de mises à jour et moins de risques d’incompatibilité. Le nouveau module Payment Button en est un bon exemple : il permet un paiement simple via PayPal ou Stripe sans installer WooCommerce, dès lors qu’on n’a pas besoin de panier, de variations ou de gestion de stock. (elegantthemes.com (lien aff))
Avada One entre en bêta et prépare l’après Avada Classic
Autre évolution importante chez les constructeurs WordPress, Avada One est entré en bêta le 11 septembre. Il ne s’agit pas simplement d’une nouvelle version d’Avada Classic. L’éditeur prépare un nouveau produit qui vivra à côté de l’Avada historique. Pour l’instant, la bêta doit être installée uniquement sur une installation WordPress neuve et Avada déconseille explicitement son utilisation sur un site client ou un site en production.
Un outil de migration existe pour tester Avada One à partir d’un ancien site Avada, mais l’éditeur prévient lui-même que tous les sites ne seront pas reproduits à l’identique et que certaines corrections manuelles pourront être nécessaires. Autre changement important, Avada One sera commercialisé sous forme d’abonnement après la bêta. Les licences Avada existantes ne sont cependant pas modifiées et l’actuel Avada devient progressivement Avada Classic. Le prix d’Avada One n’a pas encore été annoncé.
Astra et Astra Pro corrigent plusieurs problèmes de sécurité
Astra a publié le 8 septembre deux mises à jour qui méritent également l’attention. Astra Pro 4.13.9 corrige notamment un problème dans Page Headers. En effet, une valeur spécialement construite pouvait amener Astra Pro à charger comme modèle un fichier PHP présent sur le serveur alors qu’il n’était pas prévu pour cela. Le chargement est désormais limité aux templates appartenant réellement à Astra Pro. L’éditeur recommande de mettre à jour rapidement.
Le thème Astra gratuit est parallèlement passé en 4.13.11 avec deux autres correctifs de sécurité signalés via Patchstack. Ils concernaient des utilisateurs n’ayant normalement pas le droit d’enregistrer certains contenus HTML. Le widget HTML Header/Footer pouvait notamment accepter des iframes, tandis qu’un réglage de séparateur de métadonnées pouvait enregistrer du balisage arbitraire. Cette version améliore au passage sensiblement les performances de l’éditeur sur les longues pages.
LiteSpeed Cache : deux failles corrigées coup sur coup
LiteSpeed Cache a connu un mois d’août particulièrement actif côté sécurité. Une première vulnérabilité XSS stockée sans authentification affectait les versions jusqu’à 7.8.1. Elle pouvait permettre l’injection de JavaScript malveillant par l’intermédiaire du contenu d’un commentaire et a été corrigée dans LiteSpeed Cache 7.9. Patchstack lui attribue un score CVSS de 7,1.
Quelques jours plus tard, une seconde vulnérabilité de type SSRF a été publiée. Elle affectait cette fois les versions jusqu’à 7.9 et pouvait permettre à un attaquant non authentifié de pousser le serveur WordPress à effectuer des requêtes vers une adresse choisie. Elle est corrigée depuis LiteSpeed Cache 7.9.1, publiée le 1er septembre. Cette version renforce également plusieurs échanges avec QUIC.cloud en vérifiant désormais les callbacks à l’aide de signatures plutôt que simplement à partir de leur adresse IP.
Les utilisateurs de LiteSpeed Cache ont donc tout intérêt à vérifier qu’ils sont au minimum en version 7.9.1.
Wordfence 9 introduit les passkeys dans WordPress
Avec Wordfence 9.0, publié le 10 août, le plugin de sécurité permet désormais d’utiliser une passkey pour se connecter à WordPress. La fonction est disponible aussi bien dans la version gratuite que Premium et peut être activée pour différents rôles utilisateurs. Wordfence prévoit également son utilisation avec WooCommerce.
Une passkey remplace le mot de passe par une clé cryptographique enregistrée sur l’appareil de l’utilisateur. Sur un Mac ou un iPhone, par exemple, l’authentification peut être validée via Touch ID ou Face ID. Le principal intérêt est qu’il n’existe plus de mot de passe à voler ou à saisir sur un faux formulaire de connexion, ce qui rend cette méthode beaucoup plus résistante au phishing. Wordfence 9.0.1, publié le 8 septembre, améliore encore l’interface des passkeys et corrige plusieurs problèmes de compatibilité avec PHP 8.5 et les futures évolutions de MySQL.
Cette fonction mérite probablement à elle seule un futur test pratique : créer une passkey sur WordPress, se connecter avec un Mac ou un smartphone et voir dans quelle mesure elle peut réellement remplacer le traditionnel mot de passe associé à la double authentification.
Ces différentes annonces montrent surtout une évolution plus large de l’écosystème WordPress. Les grands éditeurs ne se contentent plus de faire évoluer leur thème ou leur plugin principal. Elementor et Elegant Themes développent des plateformes de gestion de sites, Avada prépare une nouvelle génération de son constructeur et les extensions de sécurité modernisent progressivement l’authentification. En parallèle, les correctifs récents d’ACF, Astra, Elementor Pro et LiteSpeed Cache rappellent qu’avec des extensions utilisées sur des millions de sites, une maintenance régulière reste indispensable.
