Mary Hubbard, la directrice exécutive de WordPress, a écrit aux dirigeants de plus de 30 entreprises de l’écosystème pour leur demander de cofinancer le programme de sécurité du CMS. L’information a été révélée par le média spécialisé The Repository le 8 octobre.
Des signalements qui explosent
Depuis le lancement du programme de primes en avril 2017, Automattic en assume seule le coût : primes versées aux chercheurs, tri des signalements, validation, correctifs et rétroportages jusqu’à WordPress 4.7.
Sauf que le rythme a changé d’échelle. Historiquement, le programme recevait 20 à 30 signalements par mois. Il en a reçu 450 en juillet, puis 773 en août. Plus de 90 000 dollars de primes ont été versés en 90 jours, sur un peu plus de 200 000 dollars depuis 2017. « Près de la moitié des primes versées depuis le début l’ont été en un seul trimestre », résume Mary Hubbard.
La cause ? L’IA, qui a selon elle « effondré le coût de la recherche, du signalement et de l’exploitation des vulnérabilités ». Sa conclusion : « C’est l’économie qui est cassée, pas le programme. »
Qui est sollicité, et comment
La liste comprend des hébergeurs (GoDaddy, Hostinger, Kinsta, SiteGround, IONOS, OVHcloud…), des éditeurs d’extensions (Elementor, Awesome Motive, Rank Math, Brainstorm Force…), des agences et des spécialistes de la sécurité comme Wordfence et Patchstack. WP Engine n’en fait pas partie.
Plusieurs formes de contribution sont envisagées : un fonds commun de primes, la prise en charge de personnes dédiées au tri et aux correctifs, ou une structure à construire ensemble.
Les premières réactions sont ouvertes mais prudentes. Hostinger envisage de détacher du personnel. Kinsta attend « un programme clairement défini », Awesome Motive juge la demande « assez floue ». Patchstack, qui dit avoir versé 600 000 dollars de primes depuis 2022 sans jamais pouvoir intégrer officiellement les équipes de WordPress, réclame une réforme du processus.
Notre lecture
La demande est légitime : les hébergeurs et éditeurs gagnent leur vie grâce à WordPress, et sa sécurité est un bien commun. Qu’une seule entreprise en porte la charge était déjà fragile, ça devient intenable quand les signalements sont multipliés par trente.
Mais la question de la gouvernance revient immédiatement. Financer, d’accord, mais avec quelle visibilité sur l’usage des fonds et quelle place pour les contributeurs ? Dans un contexte où Automattic vient de resserrer sa propre gouvernance autour de Matt Mullenweg, les entreprises sollicitées ont de bonnes raisons de demander des garanties avant de signer.
Pour vous, la conséquence concrète est déjà visible : des versions mineures de sécurité plus fréquentes. Laissez les mises à jour automatiques mineures activées.