Julio Potier a publié SecuPress 2.7, baptisée « Disco ». Au programme : cinq nouveautés, un firewall passé aux règles 8G et surtout trois failles de sécurité corrigées. Si vous utilisez l’extension, mettez-la à jour sans attendre.
Trois failles corrigées, dont une RCE
C’est le point le plus urgent de cette version. Parmi les trois vulnérabilités corrigées figurent un contournement d’authentification et une possible exécution de code à distance (RCE).
Une faille dans une extension de sécurité a toujours quelque chose d’ironique, mais c’est surtout un rappel utile : une extension de sécurité est un logiciel comme un autre, avec ses propres bugs, et elle augmente votre surface d’attaque autant qu’elle la réduit.
Les nouveautés de la version Disco
La fonctionnalité la plus concrète au quotidien est la mise en pause de la protection pendant 30 minutes. Quiconque a déjà cherché pourquoi une requête est bloquée sait le temps que fait perdre une extension de sécurité pendant un débogage.
S’y ajoutent un widget « System Status », ainsi que des alertes qui surveillent la création de mots de passe d’application. Ce dernier point est bienvenu : les mots de passe d’application sont devenus un vecteur d’accès courant, notamment avec la multiplication des connexions par API et des intégrations d’IA.
Côté sauvegardes, elles peuvent désormais être stockées hors de la racine web et protégées par mot de passe. Le firewall, lui, passe aux règles 8G.
Notre avis
Deux choses à retenir, dans l’ordre.
D’abord, mettez à jour. Un contournement d’authentification plus une RCE potentielle dans une extension installée précisément pour protéger le site, cela ne se laisse pas traîner.
Ensuite, sortir ses sauvegardes de la racine web est une excellente pratique, et elle vaut au-delà de SecuPress. Une sauvegarde accessible depuis le navigateur, c’est votre base de données complète offerte à qui devine l’adresse du fichier. Vérifiez ce point sur vos sites, quelle que soit la solution de sauvegarde que vous utilisez.
Sur l’extension elle-même : SecuPress reste une des rares solutions de sécurité françaises, avec un support en français, ce qui compte quand il faut comprendre pourquoi un accès légitime est bloqué.