Les failles critiques de WordPress sont corrigées, mais l’exploitation a déjà commencé. Des dizaines de millions de sites pourraient encore rester exposés.
En bref
- Des attaques visent déjà WordPress non mis à jour
- Jusqu’à 90 millions de sites resteraient exposés
- Deux failles permettent une prise de contrôle totale
Le plus frappant, ici, c’est la vitesse. WordPress a corrigé deux failles critiques la semaine dernière, a demandé une mise à jour « immédiatement » et a même activé des mises à jour forcées quand c’était possible. Mais sur le terrain, la fenêtre n’a pas suffi. Des attaquants exploitent déjà les sites restés sur des versions vulnérables.
Le patch est là, la fenêtre de tir reste ouverte
Trois acteurs de la sécurité, Patchstack, Hexastrike et WatchTowr, signalent une exploitation active. En clair, des sites encore non corrigés sont déjà compromis. Pour un écosystème aussi massif que WordPress, ce n’est pas une alerte théorique. C’est un problème immédiat, avec des prises de contrôle en conditions réelles.
Les versions concernées sont 6.9.0 à 6.9.4 ainsi que 7.0.0 à 7.0.1. Et là, on comprend pourquoi l’affaire dépasse la simple actualité sécurité du jour.
Des millions de sites encore dans la zone rouge
Selon les statistiques officielles de WordPress, plus de 400 millions de sites tournent avec ces versions défectueuses. Ce chiffre surestime sans doute l’exposition actuelle, puisque certains sites ont déjà été corrigés. Mais même en prenant une hypothèse bien plus prudente, le volume reste énorme.
Le consultant en cybersécurité Daniel Card, après avoir observé un échantillon d’environ 4 200 sites WordPress, estime que moins de 15 % sont encore vulnérables. Moins de 15 %, ça paraît contenu. Sauf qu’à l’échelle du parc mondial, on parle encore d’environ 90 millions de sites. Résultat, l’incident compte autant pour les équipes sécurité que pour l’économie du web.
Pourquoi la casse n’est pas encore pire
Il y a quand même quelques amortisseurs. Daniel Card attribue la limitation actuelle du risque à plusieurs couches de défense, d’abord les mises à jour automatiques poussées par WordPress, ensuite le filtrage opéré par Cloudflare, enfin les sites déjà protégés par des web firewalls.
Bon, ça réduit l’exposition. Ça ne la supprime pas. Tous les sites ne bénéficient pas de ces garde-fous, surtout les instances mal maintenues ou peu surveillées.
Le vrai sujet, c’est la prise de contrôle totale
Une des deux failles a été repérée par Adam Kues, chercheur chez Searchlight Cyber, qui l’a baptisée WP2Shell. Combinée avec l’autre vulnérabilité, elle permet aux attaquants de prendre le contrôle distant complet d’un site vulnérable.
Et c’est là que le dossier devient franchement critique pour l’écosystème mobile et numérique au sens large. Un site compromis, ce n’est pas juste une page web cassée. C’est un point d’entrée, un actif de marque exposé, parfois une brique métier. Automattic et WordPress.org n’avaient pas réagi immédiatement. En attendant, la consigne est simple, mettre à jour ne suffit plus comme bonne pratique, c’est une urgence.
