Si vous demandez \u00e0 n’importe quelle agence ou chercheur en s\u00e9curit\u00e9 ce qui cause le plus de compromissions sous WordPress, vous obtiendrez toujours la m\u00eame r\u00e9ponse. Les extensions. Pas le c\u0153ur de WordPress, pas le serveur, pas les mots de passe vol\u00e9s. Les extensions. La raison est simple. Rien que dans le d\u00e9p\u00f4t officiel, il y a pr\u00e8s de 60 000 extensions, et des milliers d’autres vendues en priv\u00e9, et toutes s’ex\u00e9cutent avec un acc\u00e8s PHP complet \u00e0 votre site. Quand l’une d’elles pr\u00e9sente une faille de s\u00e9curit\u00e9 et que vous ne la mettez pas \u00e0 jour, vous avez une porte connue grande ouverte sur votre serveur.<\/p>\n
Cet article examine pourquoi les extensions obsol\u00e8tes posent un probl\u00e8me aussi constant, comment les vuln\u00e9rabilit\u00e9s sont exploit\u00e9es en pratique, et ce que vous pouvez faire pour que votre site ne figure pas dans les statistiques du mois prochain.<\/p>\n
Chaque extension que vous installez ajoute du code qui s’ex\u00e9cute au sein de votre site WordPress. Ce code peut lire votre base de donn\u00e9es, \u00e9crire des fichiers sur votre serveur, envoyer des e-mails, appeler des API externes et ex\u00e9cuter des commandes. Quand le code est bien \u00e9crit, il fait tout cela en toute s\u00e9curit\u00e9. Quand il ne l’est pas, il offre aux attaquants des outils dont ils peuvent abuser.<\/p>\n
Parmi les failles courantes des extensions figurent le t\u00e9l\u00e9versement de fichiers sans authentification, o\u00f9 une fonctionnalit\u00e9 destin\u00e9e aux administrateurs connect\u00e9s est accessible \u00e0 n’importe qui sur internet. L’injection SQL, o\u00f9 la saisie de l’utilisateur est concat\u00e9n\u00e9e dans une requ\u00eate de base de donn\u00e9es sans \u00e9chappement correct. Le cross site scripting, o\u00f9 un contenu contr\u00f4l\u00e9 par l’attaquant est rendu comme du HTML actif dans le navigateur d’un administrateur. L’\u00e9l\u00e9vation de privil\u00e8ges, o\u00f9 un compte de niveau abonn\u00e9 peut devenir administrateur. La d\u00e9s\u00e9rialisation non s\u00e9curis\u00e9e, o\u00f9 des structures de donn\u00e9es complexes envoy\u00e9es de l’ext\u00e9rieur d\u00e9clenchent l’ex\u00e9cution de code.<\/p>\n
Chacune de ces failles peut donner \u00e0 un attaquant la capacit\u00e9 d’installer des portes d\u00e9rob\u00e9es, de d\u00e9poser des fichiers malveillants, de cr\u00e9er des comptes administrateur frauduleux ou de rebondir vers d’autres sites du m\u00eame h\u00e9bergement. L’extension n’a pas besoin d’\u00eatre obscure. Certaines des extensions les plus exploit\u00e9es de l’histoire de WordPress ont compt\u00e9 des dizaines de millions d’installations.<\/p>\n
La communaut\u00e9 de la s\u00e9curit\u00e9 fonctionne sur la divulgation responsable. Un chercheur trouve une faille, la signale en priv\u00e9 \u00e0 l’auteur de l’extension, l’auteur publie une version corrig\u00e9e, puis quelques jours ou semaines plus tard les d\u00e9tails sont publi\u00e9s dans des avis CVE et des bulletins de s\u00e9curit\u00e9. C’est sain. C’est ainsi que l’\u00e9cosyst\u00e8me s’am\u00e9liore.<\/p>\n
La partie malsaine est ce qui se passe ensuite. Les scanners automatis\u00e9s surveillent ces avis de pr\u00e8s. Dans les heures qui suivent une divulgation publique, des bots balayent le web public pour identifier les sites WordPress et les comparer \u00e0 la liste des versions vuln\u00e9rables. Si votre site ex\u00e9cute encore la version non corrig\u00e9e, il sera trouv\u00e9, souvent d\u00e8s le premier jour.<\/p>\n
C’est pourquoi la fen\u00eatre entre la divulgation et la mise \u00e0 jour de votre site compte tant. Une routine de mise \u00e0 jour hebdomadaire attrape g\u00e9n\u00e9ralement les choses \u00e0 temps. Une routine trimestrielle n’y parvient presque jamais.<\/p>\n
Pire encore qu’une extension obsol\u00e8te : une extension abandonn\u00e9e. Les auteurs d’extensions vont et viennent, et tous n’annoncent pas quand ils ont cess\u00e9 de maintenir leur code. Une extension qui n’a pas re\u00e7u de mise \u00e0 jour depuis deux ans n’est pas plus s\u00fbre parce que rien n’a chang\u00e9. Elle est plus dangereuse, car toute vuln\u00e9rabilit\u00e9 d\u00e9couverte depuis ne sera jamais corrig\u00e9e.<\/p>\n
Le d\u00e9p\u00f4t WordPress signale d\u00e9sormais les extensions non mises \u00e0 jour depuis longtemps, mais reste prudent quant \u00e0 leur suppression compl\u00e8te. C’est \u00e0 vous de le remarquer et de migrer. Une routine de maintenance mensuelle devrait inclure la v\u00e9rification de la date de derni\u00e8re mise \u00e0 jour de chaque extension que vous utilisez.<\/p>\n
Un audit client r\u00e9cent racontait une histoire claire. Le site, g\u00e9r\u00e9 par une petite agence de Sydney, avait install\u00e9 une extension de gestionnaire de fichiers offrant aux administrateurs une interface web pour parcourir et modifier les fichiers du serveur. Pratique, mais aussi une cible historiquement connue. Cette famille d’extensions a vu publier plusieurs vuln\u00e9rabilit\u00e9s critiques d’ex\u00e9cution de code \u00e0 distance au fil des ans.<\/p>\n
L’extension n’avait pas \u00e9t\u00e9 tenue \u00e0 jour. Un attaquant a exploit\u00e9 une faille connue, obtenu un acc\u00e8s en \u00e9criture \u00e0 la racine du document et d\u00e9pos\u00e9 quinze fichiers malveillants dans des r\u00e9pertoires qui imitaient les noms de vraies pages WordPress. Le r\u00e9sultat fut une attaque de cloaking SEO qui servait du spam \u00e0 Googlebot et a grill\u00e9 le classement du domaine dans les moteurs de recherche.<\/p>\n
Le nettoyage a co\u00fbt\u00e9 cher. Le SEO perdu a co\u00fbt\u00e9 plus cher encore. Une routine de mise \u00e0 jour mensuelle aurait d\u00e9tect\u00e9 l’extension vuln\u00e9rable et incit\u00e9 soit \u00e0 un correctif imm\u00e9diat, soit \u00e0 la suppression totale de l’extension. La r\u00e9paration compl\u00e8te aurait \u00e9t\u00e9 un travail de quinze minutes lors d’une maintenance de routine.<\/p>\n
Les raisons avanc\u00e9es pour ne pas mettre \u00e0 jour les extensions se rangent dans quelques sch\u00e9mas familiers. Il vaut la peine de les conna\u00eetre, car chacune a une meilleure r\u00e9ponse.<\/p>\n
Certains propri\u00e9taires craignent que les mises \u00e0 jour cassent le site. La r\u00e9ponse est de tester d’abord en pr\u00e9production, de faire une sauvegarde et de mettre \u00e0 jour de mani\u00e8re contr\u00f4l\u00e9e. Pas de ne jamais mettre \u00e0 jour.<\/p>\n
Certains propri\u00e9taires ne consultent pas souvent leur site. La r\u00e9ponse est de configurer des alertes par e-mail lorsque des mises \u00e0 jour sont disponibles, ou de placer le site sous un plan de support o\u00f9 quelqu’un d’autre s’en charge.<\/p>\n
Certains propri\u00e9taires utilisent une extension fortement personnalis\u00e9e et craignent qu’une mise \u00e0 jour n’\u00e9crase leurs modifications. La r\u00e9ponse est de ne jamais modifier directement les fichiers de l’extension. Utilisez les hooks et filtres de l’extension depuis un th\u00e8me enfant ou une extension personnalis\u00e9e, pour que les mises \u00e0 jour cessent de casser vos personnalisations.<\/p>\n
Certains propri\u00e9taires ignorent que l’extension existe. Ils ont h\u00e9rit\u00e9 du site, ou un freelance a install\u00e9 quelque chose il y a des ann\u00e9es sans jamais le leur dire. La r\u00e9ponse est un audit. Ouvrez la page des extensions et regardez. Si vous ne savez pas \u00e0 quoi sert quelque chose, renseignez-vous ou supprimez-le.<\/p>\n
La routine de base est la m\u00eame sur chaque site que nous g\u00e9rons. Faites une sauvegarde compl\u00e8te, base de donn\u00e9es et fichiers compris. Appliquez les mises \u00e0 jour en pr\u00e9production si le changement semble risqu\u00e9. Mettez \u00e0 jour les extensions par lots, pas toutes en m\u00eame temps, afin que si quelque chose casse, vous sachiez quelle extension est en cause. Testez rapidement le site ensuite, en visitant au moins la page d’accueil, une page d’atterrissage cl\u00e9, le tunnel d’achat s’il y en a un et l’espace d’administration. Documentez toute extension qui pose r\u00e9guli\u00e8rement probl\u00e8me et envisagez de la remplacer.<\/p>\n
Pour les extensions premium, gardez la licence active. Une licence expir\u00e9e signifie pas de mises \u00e0 jour, pas de correctifs de s\u00e9curit\u00e9 et pas de support. Le co\u00fbt annuel de la licence est presque toujours inf\u00e9rieur au co\u00fbt d’une seule r\u00e9cup\u00e9ration apr\u00e8s une compromission.<\/p>\n
Le geste de s\u00e9curit\u00e9 le plus sous-estim\u00e9 est tout simplement d’avoir moins d’extensions. Chaque extension est davantage de surface d’attaque. Chaque extension est un fournisseur de plus dont vous d\u00e9pendez du calendrier de mises \u00e0 jour. Beaucoup de sites WordPress que nous auditons ont 25 ou 30 extensions actives, et au moins un tiers d’entre elles font des choses qui ne sont plus utilis\u00e9es ou pourraient \u00eatre regroup\u00e9es.<\/p>\n
Parcourez la liste. Si vous ne vous souvenez pas pourquoi vous avez install\u00e9 quelque chose, vous n’en avez probablement pas besoin. Si deux extensions se recoupent en fonction, regroupez-les. La plus petite empreinte d’extensions qui fournit ce dont vous avez r\u00e9ellement besoin est la plus s\u00fbre.<\/p>\n
Les extensions sont la partie la plus puissante et la plus dangereuse de WordPress. Elles vous offrent les fonctionnalit\u00e9s qui rendent la plateforme attrayante, et elles offrent aux attaquants les portes qui font des sites WordPress une cible si fr\u00e9quente. La solution n’est pas d’\u00e9viter les extensions, c’est de les g\u00e9rer. Gardez-les \u00e0 jour. Gardez-les l\u00e9g\u00e8res. Rep\u00e9rez quand l’une est abandonn\u00e9e et migrez. Traitez votre liste d’extensions comme un budget, pas comme un fourre-tout.<\/p>\n