Pourquoi les extensions obsolètes sont la première cause de piratage sous WordPress

Si vous demandez à n’importe quelle agence ou chercheur en sécurité ce qui cause le plus de compromissions sous WordPress, vous obtiendrez toujours la même réponse. Les extensions. Pas le cœur de WordPress, pas le serveur, pas les mots de passe volés. Les extensions. La raison est simple. Rien que dans le dépôt officiel, il y a près de 60 000 extensions, et des milliers d’autres vendues en privé, et toutes s’exécutent avec un accès PHP complet à votre site. Quand l’une d’elles présente une faille de sécurité et que vous ne la mettez pas à jour, vous avez une porte connue grande ouverte sur votre serveur.

Cet article examine pourquoi les extensions obsolètes posent un problème aussi constant, comment les vulnérabilités sont exploitées en pratique, et ce que vous pouvez faire pour que votre site ne figure pas dans les statistiques du mois prochain.

La structure d’une vulnérabilité d’extension

Chaque extension que vous installez ajoute du code qui s’exécute au sein de votre site WordPress. Ce code peut lire votre base de données, écrire des fichiers sur votre serveur, envoyer des e-mails, appeler des API externes et exécuter des commandes. Quand le code est bien écrit, il fait tout cela en toute sécurité. Quand il ne l’est pas, il offre aux attaquants des outils dont ils peuvent abuser.

Parmi les failles courantes des extensions figurent le téléversement de fichiers sans authentification, où une fonctionnalité destinée aux administrateurs connectés est accessible à n’importe qui sur internet. L’injection SQL, où la saisie de l’utilisateur est concaténée dans une requête de base de données sans échappement correct. Le cross site scripting, où un contenu contrôlé par l’attaquant est rendu comme du HTML actif dans le navigateur d’un administrateur. L’élévation de privilèges, où un compte de niveau abonné peut devenir administrateur. La désérialisation non sécurisée, où des structures de données complexes envoyées de l’extérieur déclenchent l’exécution de code.

Chacune de ces failles peut donner à un attaquant la capacité d’installer des portes dérobées, de déposer des fichiers malveillants, de créer des comptes administrateur frauduleux ou de rebondir vers d’autres sites du même hébergement. L’extension n’a pas besoin d’être obscure. Certaines des extensions les plus exploitées de l’histoire de WordPress ont compté des dizaines de millions d’installations.

Pourquoi la divulgation est une arme à double tranchant

La communauté de la sécurité fonctionne sur la divulgation responsable. Un chercheur trouve une faille, la signale en privé à l’auteur de l’extension, l’auteur publie une version corrigée, puis quelques jours ou semaines plus tard les détails sont publiés dans des avis CVE et des bulletins de sécurité. C’est sain. C’est ainsi que l’écosystème s’améliore.

La partie malsaine est ce qui se passe ensuite. Les scanners automatisés surveillent ces avis de près. Dans les heures qui suivent une divulgation publique, des bots balayent le web public pour identifier les sites WordPress et les comparer à la liste des versions vulnérables. Si votre site exécute encore la version non corrigée, il sera trouvé, souvent dès le premier jour.

C’est pourquoi la fenêtre entre la divulgation et la mise à jour de votre site compte tant. Une routine de mise à jour hebdomadaire attrape généralement les choses à temps. Une routine trimestrielle n’y parvient presque jamais.

L’extension que plus personne ne maintient

Pire encore qu’une extension obsolète : une extension abandonnée. Les auteurs d’extensions vont et viennent, et tous n’annoncent pas quand ils ont cessé de maintenir leur code. Une extension qui n’a pas reçu de mise à jour depuis deux ans n’est pas plus sûre parce que rien n’a changé. Elle est plus dangereuse, car toute vulnérabilité découverte depuis ne sera jamais corrigée.

Le dépôt WordPress signale désormais les extensions non mises à jour depuis longtemps, mais reste prudent quant à leur suppression complète. C’est à vous de le remarquer et de migrer. Une routine de maintenance mensuelle devrait inclure la vérification de la date de dernière mise à jour de chaque extension que vous utilisez.

Étude de cas : comment une extension de gestionnaire de fichiers a fait tomber un site de Sydney

Un audit client récent racontait une histoire claire. Le site, géré par une petite agence de Sydney, avait installé une extension de gestionnaire de fichiers offrant aux administrateurs une interface web pour parcourir et modifier les fichiers du serveur. Pratique, mais aussi une cible historiquement connue. Cette famille d’extensions a vu publier plusieurs vulnérabilités critiques d’exécution de code à distance au fil des ans.

L’extension n’avait pas été tenue à jour. Un attaquant a exploité une faille connue, obtenu un accès en écriture à la racine du document et déposé quinze fichiers malveillants dans des répertoires qui imitaient les noms de vraies pages WordPress. Le résultat fut une attaque de cloaking SEO qui servait du spam à Googlebot et a grillé le classement du domaine dans les moteurs de recherche.

Le nettoyage a coûté cher. Le SEO perdu a coûté plus cher encore. Une routine de mise à jour mensuelle aurait détecté l’extension vulnérable et incité soit à un correctif immédiat, soit à la suppression totale de l’extension. La réparation complète aurait été un travail de quinze minutes lors d’une maintenance de routine.

Pourquoi les gens ne mettent pas à jour leurs extensions

Les raisons avancées pour ne pas mettre à jour les extensions se rangent dans quelques schémas familiers. Il vaut la peine de les connaître, car chacune a une meilleure réponse.

Certains propriétaires craignent que les mises à jour cassent le site. La réponse est de tester d’abord en préproduction, de faire une sauvegarde et de mettre à jour de manière contrôlée. Pas de ne jamais mettre à jour.

Certains propriétaires ne consultent pas souvent leur site. La réponse est de configurer des alertes par e-mail lorsque des mises à jour sont disponibles, ou de placer le site sous un plan de support où quelqu’un d’autre s’en charge.

Certains propriétaires utilisent une extension fortement personnalisée et craignent qu’une mise à jour n’écrase leurs modifications. La réponse est de ne jamais modifier directement les fichiers de l’extension. Utilisez les hooks et filtres de l’extension depuis un thème enfant ou une extension personnalisée, pour que les mises à jour cessent de casser vos personnalisations.

Certains propriétaires ignorent que l’extension existe. Ils ont hérité du site, ou un freelance a installé quelque chose il y a des années sans jamais le leur dire. La réponse est un audit. Ouvrez la page des extensions et regardez. Si vous ne savez pas à quoi sert quelque chose, renseignez-vous ou supprimez-le.

À quoi ressemble une routine de mise à jour d’extensions sûre

La routine de base est la même sur chaque site que nous gérons. Faites une sauvegarde complète, base de données et fichiers compris. Appliquez les mises à jour en préproduction si le changement semble risqué. Mettez à jour les extensions par lots, pas toutes en même temps, afin que si quelque chose casse, vous sachiez quelle extension est en cause. Testez rapidement le site ensuite, en visitant au moins la page d’accueil, une page d’atterrissage clé, le tunnel d’achat s’il y en a un et l’espace d’administration. Documentez toute extension qui pose régulièrement problème et envisagez de la remplacer.

Pour les extensions premium, gardez la licence active. Une licence expirée signifie pas de mises à jour, pas de correctifs de sécurité et pas de support. Le coût annuel de la licence est presque toujours inférieur au coût d’une seule récupération après une compromission.

Réduire le nombre d’extensions que vous utilisez

Le geste de sécurité le plus sous-estimé est tout simplement d’avoir moins d’extensions. Chaque extension est davantage de surface d’attaque. Chaque extension est un fournisseur de plus dont vous dépendez du calendrier de mises à jour. Beaucoup de sites WordPress que nous auditons ont 25 ou 30 extensions actives, et au moins un tiers d’entre elles font des choses qui ne sont plus utilisées ou pourraient être regroupées.

Parcourez la liste. Si vous ne vous souvenez pas pourquoi vous avez installé quelque chose, vous n’en avez probablement pas besoin. Si deux extensions se recoupent en fonction, regroupez-les. La plus petite empreinte d’extensions qui fournit ce dont vous avez réellement besoin est la plus sûre.

En résumé

Les extensions sont la partie la plus puissante et la plus dangereuse de WordPress. Elles vous offrent les fonctionnalités qui rendent la plateforme attrayante, et elles offrent aux attaquants les portes qui font des sites WordPress une cible si fréquente. La solution n’est pas d’éviter les extensions, c’est de les gérer. Gardez-les à jour. Gardez-les légères. Repérez quand l’une est abandonnée et migrez. Traitez votre liste d’extensions comme un budget, pas comme un fourre-tout.

Besoin d’un coup de main ?

Si vous souhaitez que Defyn audite les extensions de votre site WordPress et vous dise lesquelles sont à risque, lesquelles peuvent être supprimées et lesquelles doivent être remplacées, contactez-nous. Un audit d’extensions ciblé est l’une des actions les plus efficaces que vous puissiez mener pour la sécurité de votre site.