Face à la multiplication des attaques sur la chaîne d’approvisionnement des CMS, Matt Mullenweg vient d’annoncer une initiative qui change la manière dont les mises à jour d’extensions et de thèmes vont se déployer sur WordPress.
Son nom : Protect the Shire.
Le principe
Désormais, toute nouvelle version d’une extension ou d’un thème distribuée via le répertoire officiel attendra 24 heures avant d’être déployée automatiquement sur les sites WordPress en mise à jour auto.
Ces 24 heures servent à scanner le code via des outils assistés par l’IA pour repérer d’éventuelles anomalies, injections malveillantes ou comportements suspects avant que la nouvelle version arrive en masse sur les sites du monde entier.
Pourquoi maintenant
Le contexte n’est pas anodin. Matt Mullenweg le justifie directement par « la hausse des attaques ingénieuses et dangereuses contre la chaîne d’approvisionnement dans les écosystèmes npm, PyPI, GitHub et RubyGems ». Traduction : ce qui touche déjà JavaScript et Python touchera WordPress si rien n’est fait.
Et l’actualité récente lui donne raison. Quelques jours avant cette annonce, l’écosystème WordPress a justement été frappé par une attaque sur OptinMonster et les extensions d’Awesome Motive qui a exposé plus de 1,2 million de sites. Le timing n’a probablement rien d’une coïncidence.
Ce que ça change pour vous
- Vous avez activé les mises à jour automatiques (le cas par défaut sur la majorité des sites WordPress) : vos plugins seront mis à jour avec 24h de retard par rapport à la sortie d’une nouvelle version. Vous gagnez en sécurité, vous perdez 24h de patch.
- Vous gérez vos mises à jour manuellement : rien ne change pour vous. Vous pouvez toujours déployer une mise à jour dès qu’elle sort, sans attendre.
Pour la grande majorité des sites, c’est un excellent compromis. 24h, c’est négligeable comme délai. Et c’est largement assez pour qu’une faille critique massive soit détectée par les outils de scan avant déploiement.
Notre lecture
C’est un changement majeur dans la gouvernance du répertoire WordPress, et il était grand temps. Le modèle « tout le monde fait confiance à tout le monde et personne ne vérifie le code en aval » ne pouvait plus tenir face à la professionnalisation des attaques.
À surveiller : la qualité réelle des scans IA. Détecter une injection sophistiquée dans un plugin de 5 000 lignes n’est pas trivial (espérons que le modèle utilisé est à la hauteur). On en saura plus dans quelques mois quand les premières attaques tenteront de passer cette nouvelle barrière.