+34%. C’est l’augmentation du nombre de vulnérabilités détectées dans l’écosystème WordPress en 2024 par rapport à 2023, selon le rapport 2025 de Patchstack. L’entreprise spécialiste de la sécurité WordPress vient de publier son étude annuelle. Plusieurs chiffres méritent votre attention.
LiteSpeed Cache, cible n°1
Avec plus de 6 millions d’installations actives, LiteSpeed Cache a été l’extension la plus ciblée par les vulnérabilités en 2024. Sa popularité en fait mécaniquement une cible attractive, et l’année a effectivement vu plusieurs failles majeures corrigées en urgence sur ce plugin de cache. Si vous l’utilisez, vérifiez que vous êtes bien à jour et que les mises à jour automatiques sont actives.
Un demi-million de sites infectés
Le rapport recense plus de 500 000 sites infectés en 2024. Sur ces cas, 43% des vulnérabilités exploitées étaient utilisables sans authentification. Traduction : un attaquant n’avait besoin d’aucun compte pour compromettre le site. C’est la catégorie la plus dangereuse, car elle rend possible l’exploitation en masse, via des scanners automatisés.
Autre point critique : 96% des vulnérabilités détectées se nichent dans des extensions, contre 4% dans les thèmes et 0,001% dans le Cœur WordPress. Le Cœur reste solide, les développeurs d’extensions restent la surface d’attaque principale. Ce qui n’a rien de nouveau, mais confirme la nécessité d’auditer régulièrement les plugins que vous installez.
Le tiers des vulnérabilités non corrigées
Le chiffre le plus inédit du rapport : 33% des vulnérabilités détectées en 2024 n’ont pas été corrigées avant leur publication. La raison principale : le développement du plugin concerné a été abandonné, l’auteur ne répond plus, le plugin dort dans le répertoire officiel sans mise à jour depuis plusieurs mois voire plusieurs années.
C’est ce qui rend les extensions abandonnées particulièrement dangereuses. Un vieux plugin non maintenu qui développe une faille reste vulnérable dans la nature, jusqu’à ce que quelqu’un finisse par forker et corriger, ou que WordPress.org le retire (ce qui n’est fait qu’en cas de failles graves).
Que faire
La checklist reste classique : installer uniquement des plugins activement maintenus (regardez la date de dernière MAJ sur WordPress.org), activer les mises à jour automatiques pour les extensions non critiques, faire un audit annuel de votre stack et retirer les plugins non utilisés, et installer une solution de monitoring comme WP Umbrella, Patchstack ou Wordfence si vous gérez plusieurs sites en production.
Pour un complément de lecture détaillé, le rapport Patchstack est disponible en intégralité gratuitement en échange d’une adresse email.