Mauvaise nouvelle pour la sécurité des sites WordPress : plusieurs extensions ont été supprimées du répertoire officiel WordPress.org après la découverte de portes dérobées (backdoors) cachées dans leur code.
Les extensions concernées
Plusieurs plugins ont été retirés suite à cette enquête :
- Quick Page/Post Redirect : une extension populaire pour gérer les redirections, installée sur un nombre conséquent de sites
- scroll-top : une extension utilitaire de scroll vers le haut
- 80 plugins du développeur WPFactory : une vague massive concernant un même éditeur
L’enquête de The Repository indique que certaines de ces portes dérobées étaient opérées depuis des années par leurs propres auteurs (ce qui change la nature du problème : ce n’est pas un piratage, c’est un abus de confiance délibéré).
Ce que vous devez faire
Si vous étiez utilisateur de l’une de ces extensions :
- Désinstallez-la immédiatement et supprimez tous ses fichiers du serveur
- Vérifiez votre liste d’utilisateurs administrateurs : tout compte que vous n’auriez pas créé est probablement le résultat de la backdoor
- Inspectez les fichiers du dossier
wp-content/plugins/: certaines portes dérobées laissent des fichiers persistants même après désinstallation - Changez tous les mots de passe administrateurs et FTP
- Si vous découvrez une compromission, partez du principe que tout le site est corrompu et restaurez depuis une sauvegarde antérieure
Notre lecture
Cette série de découvertes confirme ce que la communauté répète depuis des années : l’extension qu’on installe n’est pas toujours celle qu’on croit. Le modèle du répertoire officiel WordPress.org repose sur la confiance, et un éditeur malveillant peut maintenir une backdoor pendant des années sans être détecté.
C’est exactement ce que l’initiative Protect the Shire de Matt Mullenweg (annoncée plus tard) essaie d’adresser : scanner les extensions avant déploiement pour repérer ce genre de code malveillant.
Pour votre sécurité au quotidien : utilisez un outil de monitoring sécurité qui détecte ce type d’anomalie automatiquement.