Pourquoi les plugins de gestion de fichiers vulnérables continuent de faire pirater les sites WordPress

Si vous maintenez suffisamment de sites WordPress, vous finissez par reconnaître la même catégorie de plugin qui revient compromission après compromission. Les plugins de gestion de fichiers sont en tête de cette liste. Ils sont populaires parce qu’ils sont utiles. Ils sont dangereux parce qu’ils confient une capacité très puissante à quiconque peut les atteindre. Et historiquement, plusieurs des gestionnaires de fichiers les plus installés ont présenté des vulnérabilités critiques permettant l’exécution de code à distance sans authentification.

Cet article explique pourquoi les plugins de gestion de fichiers constituent un vecteur d’attaque aussi constant, examine une compromission réelle et récente d’une agence de Sydney attribuée à l’un d’eux, et propose des alternatives plus sûres.

Ce que font les plugins de gestion de fichiers

Un plugin de gestion de fichiers WordPress offre aux administrateurs un explorateur de fichiers web au sein du tableau de bord. Depuis le panneau d’administration, vous pouvez parcourir les répertoires, modifier des fichiers, en téléverser de nouveaux, changer les permissions et, dans certains cas, exécuter des commandes côté serveur. L’argument, c’est la commodité : vous pouvez réparer un fichier défaillant sans avoir besoin d’identifiants SFTP ni d’un outil de transfert de fichiers distinct.

Le problème, c’est que cette capacité est si puissante que la moindre faille du plugin donne à un attaquant exactement la même capacité. Si le plugin présente une vulnérabilité permettant à une requête de contourner la vérification d’administrateur, l’attaquant s’est vu remettre, de fait, un web shell avec un accès complet au système de fichiers.

L’historique

La famille wp-file-manager en particulier a un historique long et bien documenté de vulnérabilités critiques. La plus célèbre fut CVE-2020-25213, une exécution de code à distance sans authentification dans la bibliothèque elFinder intégrée, qui a touché des millions de sites et a été exploitée à très grande échelle. Plusieurs avis ultérieurs ont depuis été publiés pour divers forks et versions intégrées.

Ce n’est pas propre à un seul plugin ni à un seul auteur. Toute la catégorie est confrontée au même problème. Les bibliothèques de gestion de fichiers intégrées sont volumineuses, complexes et difficiles à maintenir à la fois complètes en fonctionnalités et sûres. Lorsqu’une vulnérabilité est découverte dans la bibliothèque en amont, elle se propage à chaque plugin WordPress qui l’embarque.

Une étude de cas récente d’une agence de Sydney

En mai 2026, nous avons audité le site d’une agence de Sydney qui avait été compromis. L’audit forensique a identifié quinze fichiers malveillants déposés à la racine du document, organisés en cinq répertoires qui reprenaient les noms de pages WordPress réelles. Les fichiers malveillants mettaient en œuvre une attaque de cloaking SEO, servant du contenu de spam à Googlebot tout en servant du HTML de pages-portails aux visiteurs humains.

Le suspect le plus probable comme point d’entrée était un plugin de gestion de fichiers obsolète, installé puis oublié. Le plugin n’avait pas été mis à jour. La famille du plugin comptait plusieurs avis historiques d’exécution de code à distance. Le mécanisme par lequel les fichiers malveillants ont été déposés était presque certainement l’exploitation de l’une de ces vulnérabilités. Le changement préventif le plus efficace pour ce site aurait été de supprimer entièrement le plugin avant la compromission.

Pourquoi les gens installent ces plugins au départ

La motivation est toujours la même. Quelqu’un devait réparer un fichier, n’avait pas configuré le SFTP et a installé un gestionnaire de fichiers depuis le répertoire des plugins. Le plugin a fonctionné, la réparation a été faite, et le plugin est resté installé. Cinq ans plus tard, le problème d’origine est oublié depuis longtemps et le plugin est toujours actif.

La commodité qui a motivé l’installation était un besoin ponctuel. La surface d’attaque qu’elle a créée est permanente tant que le plugin reste sur le site.

Quoi utiliser à la place

Pour presque tous les cas d’usage que résout un plugin de gestion de fichiers, il existe une alternative plus sûre.

SFTP. Tout hébergeur WordPress réputé fournit un accès SFTP. Un client gratuit comme FileZilla ou Cyberduck vous offre la même capacité de parcours et d’édition de fichiers sans l’exposer au web public. L’authentification se fait au niveau de la couche SSH, et non comme un endpoint de plugin.

Le panneau de contrôle de l’hébergement. La plupart des hébergeurs intègrent un gestionnaire de fichiers à leur panneau de contrôle, accessible uniquement après authentification à votre compte d’hébergement. C’est bien plus sûr qu’un plugin WordPress, car le chemin d’accès ne se trouve pas sur l’URL publique du site.

SSH et wp cli. Pour les utilisateurs techniques, l’accès en ligne de commande à votre hébergement vous donne tout ce que fait un gestionnaire de fichiers, et plus encore, sans aucun plugin exposé au web.

L’éditeur intégré de thèmes et de plugins de WordPress, en dernier recours. WordPress inclut lui-même un éditeur basique pour les fichiers de thèmes et de plugins. Il n’est pas aussi complet qu’un plugin de gestion de fichiers, et la bonne pratique consiste à le désactiver dans wp-config.php avec DISALLOW_FILE_EDIT, mais il couvre le cas courant de l’édition d’un fichier précis sans ajouter de surface d’attaque liée aux plugins.

Si vous avez absolument besoin d’un plugin de gestion de fichiers

Si votre flux de travail exige réellement un plugin de gestion de fichiers, traitez-le comme un outil à privilèges. Installez-le uniquement sur les sites où il est véritablement nécessaire. Mettez-le à jour immédiatement à chaque version. Restreignez son accès par des mesures supplémentaires, comme une liste blanche d’IP ou une authentification HTTP basique au niveau du serveur. Désactivez-le ou désinstallez-le dès qu’il n’est plus nécessaire.

Surtout, ne le laissez pas actif sur un site qui n’a pas été touché depuis des mois. Un plugin de gestion de fichiers inactif est un futur incident qui n’attend que de se produire.

La leçon plus large

Les plugins de gestion de fichiers sont l’illustration la plus claire d’un principe plus général. La commodité et la sécurité sont en tension. Tout ce qui vous donne une capacité puissante via l’URL de votre site est aussi une cible puissante s’il comporte une faille. Le principe s’applique aux plugins de sauvegarde avec restauration via le web, aux plugins de sécurité avec analyse complète du système de fichiers, et à tout outil qui expose des actions côté serveur à des requêtes authentifiées.

Pour chacun d’eux, demandez-vous si la capacité doit vivre sur le site ou si elle peut vivre dans un endroit plus sûr. Souvent la réponse est l’endroit plus sûr, et le plugin WordPress peut être supprimé entièrement.

Besoin d’un coup de main ?

Si vous avez un plugin de gestion de fichiers sur votre site WordPress et que vous ne savez pas si vous en avez encore besoin, l’équipe de Defyn peut examiner votre flux de travail, mettre en place des alternatives plus sûres et supprimer proprement le plugin, refermant ainsi l’une des plus grandes portes qu’utilisent les attaquants sur les sites WordPress.