Si vous maintenez suffisamment de sites WordPress, vous finissez par reconna\u00eetre la m\u00eame cat\u00e9gorie de plugin qui revient compromission apr\u00e8s compromission. Les plugins de gestion de fichiers sont en t\u00eate de cette liste. Ils sont populaires parce qu’ils sont utiles. Ils sont dangereux parce qu’ils confient une capacit\u00e9 tr\u00e8s puissante \u00e0 quiconque peut les atteindre. Et historiquement, plusieurs des gestionnaires de fichiers les plus install\u00e9s ont pr\u00e9sent\u00e9 des vuln\u00e9rabilit\u00e9s critiques permettant l’ex\u00e9cution de code \u00e0 distance sans authentification.<\/p>\n\n\n\n
Cet article explique pourquoi les plugins de gestion de fichiers constituent un vecteur d’attaque aussi constant, examine une compromission r\u00e9elle et r\u00e9cente d’une agence de Sydney attribu\u00e9e \u00e0 l’un d’eux, et propose des alternatives plus s\u00fbres.<\/p>\n\n\n\n
Un plugin de gestion de fichiers WordPress offre aux administrateurs un explorateur de fichiers web au sein du tableau de bord. Depuis le panneau d’administration, vous pouvez parcourir les r\u00e9pertoires, modifier des fichiers, en t\u00e9l\u00e9verser de nouveaux, changer les permissions et, dans certains cas, ex\u00e9cuter des commandes c\u00f4t\u00e9 serveur. L’argument, c’est la commodit\u00e9 : vous pouvez r\u00e9parer un fichier d\u00e9faillant sans avoir besoin d’identifiants SFTP ni d’un outil de transfert de fichiers distinct.<\/p>\n\n\n\n
Le probl\u00e8me, c’est que cette capacit\u00e9 est si puissante que la moindre faille du plugin donne \u00e0 un attaquant exactement la m\u00eame capacit\u00e9. Si le plugin pr\u00e9sente une vuln\u00e9rabilit\u00e9 permettant \u00e0 une requ\u00eate de contourner la v\u00e9rification d’administrateur, l’attaquant s’est vu remettre, de fait, un web shell avec un acc\u00e8s complet au syst\u00e8me de fichiers.<\/p>\n\n\n\n
La famille wp-file-manager en particulier a un historique long et bien document\u00e9 de vuln\u00e9rabilit\u00e9s critiques. La plus c\u00e9l\u00e8bre fut CVE-2020-25213, une ex\u00e9cution de code \u00e0 distance sans authentification dans la biblioth\u00e8que elFinder int\u00e9gr\u00e9e, qui a touch\u00e9 des millions de sites et a \u00e9t\u00e9 exploit\u00e9e \u00e0 tr\u00e8s grande \u00e9chelle. Plusieurs avis ult\u00e9rieurs ont depuis \u00e9t\u00e9 publi\u00e9s pour divers forks et versions int\u00e9gr\u00e9es.<\/p>\n\n\n\n
Ce n’est pas propre \u00e0 un seul plugin ni \u00e0 un seul auteur. Toute la cat\u00e9gorie est confront\u00e9e au m\u00eame probl\u00e8me. Les biblioth\u00e8ques de gestion de fichiers int\u00e9gr\u00e9es sont volumineuses, complexes et difficiles \u00e0 maintenir \u00e0 la fois compl\u00e8tes en fonctionnalit\u00e9s et s\u00fbres. Lorsqu’une vuln\u00e9rabilit\u00e9 est d\u00e9couverte dans la biblioth\u00e8que en amont, elle se propage \u00e0 chaque plugin WordPress qui l’embarque.<\/p>\n\n\n\n
En mai 2026, nous avons audit\u00e9 le site d’une agence de Sydney qui avait \u00e9t\u00e9 compromis. L’audit forensique a identifi\u00e9 quinze fichiers malveillants d\u00e9pos\u00e9s \u00e0 la racine du document, organis\u00e9s en cinq r\u00e9pertoires qui reprenaient les noms de pages WordPress r\u00e9elles. Les fichiers malveillants mettaient en \u0153uvre une attaque de cloaking SEO, servant du contenu de spam \u00e0 Googlebot tout en servant du HTML de pages-portails aux visiteurs humains.<\/p>\n\n\n\n
Le suspect le plus probable comme point d’entr\u00e9e \u00e9tait un plugin de gestion de fichiers obsol\u00e8te, install\u00e9 puis oubli\u00e9. Le plugin n’avait pas \u00e9t\u00e9 mis \u00e0 jour. La famille du plugin comptait plusieurs avis historiques d’ex\u00e9cution de code \u00e0 distance. Le m\u00e9canisme par lequel les fichiers malveillants ont \u00e9t\u00e9 d\u00e9pos\u00e9s \u00e9tait presque certainement l’exploitation de l’une de ces vuln\u00e9rabilit\u00e9s. Le changement pr\u00e9ventif le plus efficace pour ce site aurait \u00e9t\u00e9 de supprimer enti\u00e8rement le plugin avant la compromission.<\/p>\n\n\n\n
La motivation est toujours la m\u00eame. Quelqu’un devait r\u00e9parer un fichier, n’avait pas configur\u00e9 le SFTP et a install\u00e9 un gestionnaire de fichiers depuis le r\u00e9pertoire des plugins. Le plugin a fonctionn\u00e9, la r\u00e9paration a \u00e9t\u00e9 faite, et le plugin est rest\u00e9 install\u00e9. Cinq ans plus tard, le probl\u00e8me d’origine est oubli\u00e9 depuis longtemps et le plugin est toujours actif.<\/p>\n\n\n\n
La commodit\u00e9 qui a motiv\u00e9 l’installation \u00e9tait un besoin ponctuel. La surface d’attaque qu’elle a cr\u00e9\u00e9e est permanente tant que le plugin reste sur le site.<\/p>\n\n\n\n
Pour presque tous les cas d’usage que r\u00e9sout un plugin de gestion de fichiers, il existe une alternative plus s\u00fbre.<\/p>\n\n\n\n
SFTP.<\/strong> Tout h\u00e9bergeur WordPress r\u00e9put\u00e9 fournit un acc\u00e8s SFTP. Un client gratuit comme FileZilla ou Cyberduck vous offre la m\u00eame capacit\u00e9 de parcours et d’\u00e9dition de fichiers sans l’exposer au web public. L’authentification se fait au niveau de la couche SSH, et non comme un endpoint de plugin.<\/p>\n\n\n\n Le panneau de contr\u00f4le de l’h\u00e9bergement.<\/strong> La plupart des h\u00e9bergeurs int\u00e8grent un gestionnaire de fichiers \u00e0 leur panneau de contr\u00f4le, accessible uniquement apr\u00e8s authentification \u00e0 votre compte d’h\u00e9bergement. C’est bien plus s\u00fbr qu’un plugin WordPress, car le chemin d’acc\u00e8s ne se trouve pas sur l’URL publique du site.<\/p>\n\n\n\n SSH et wp cli.<\/strong> Pour les utilisateurs techniques, l’acc\u00e8s en ligne de commande \u00e0 votre h\u00e9bergement vous donne tout ce que fait un gestionnaire de fichiers, et plus encore, sans aucun plugin expos\u00e9 au web.<\/p>\n\n\n\n L’\u00e9diteur int\u00e9gr\u00e9 de th\u00e8mes et de plugins de WordPress, en dernier recours.<\/strong> WordPress inclut lui-m\u00eame un \u00e9diteur basique pour les fichiers de th\u00e8mes et de plugins. Il n’est pas aussi complet qu’un plugin de gestion de fichiers, et la bonne pratique consiste \u00e0 le d\u00e9sactiver dans wp-config.php avec DISALLOW_FILE_EDIT, mais il couvre le cas courant de l’\u00e9dition d’un fichier pr\u00e9cis sans ajouter de surface d’attaque li\u00e9e aux plugins.<\/p>\n\n\n\n Si votre flux de travail exige r\u00e9ellement un plugin de gestion de fichiers, traitez-le comme un outil \u00e0 privil\u00e8ges. Installez-le uniquement sur les sites o\u00f9 il est v\u00e9ritablement n\u00e9cessaire. Mettez-le \u00e0 jour imm\u00e9diatement \u00e0 chaque version. Restreignez son acc\u00e8s par des mesures suppl\u00e9mentaires, comme une liste blanche d’IP ou une authentification HTTP basique au niveau du serveur. D\u00e9sactivez-le ou d\u00e9sinstallez-le d\u00e8s qu’il n’est plus n\u00e9cessaire.<\/p>\n\n\n\n Surtout, ne le laissez pas actif sur un site qui n’a pas \u00e9t\u00e9 touch\u00e9 depuis des mois. Un plugin de gestion de fichiers inactif est un futur incident qui n’attend que de se produire.<\/p>\n\n\n\n Les plugins de gestion de fichiers sont l’illustration la plus claire d’un principe plus g\u00e9n\u00e9ral. La commodit\u00e9 et la s\u00e9curit\u00e9 sont en tension. Tout ce qui vous donne une capacit\u00e9 puissante via l’URL de votre site est aussi une cible puissante s’il comporte une faille. Le principe s’applique aux plugins de sauvegarde avec restauration via le web, aux plugins de s\u00e9curit\u00e9 avec analyse compl\u00e8te du syst\u00e8me de fichiers, et \u00e0 tout outil qui expose des actions c\u00f4t\u00e9 serveur \u00e0 des requ\u00eates authentifi\u00e9es.<\/p>\n\n\n\n Pour chacun d’eux, demandez-vous si la capacit\u00e9 doit vivre sur le site ou si elle peut vivre dans un endroit plus s\u00fbr. Souvent la r\u00e9ponse est l’endroit plus s\u00fbr, et le plugin WordPress peut \u00eatre supprim\u00e9 enti\u00e8rement.<\/p>\n\n\n\nSi vous avez absolument besoin d’un plugin de gestion de fichiers<\/h2>\n\n\n\n
La le\u00e7on plus large<\/h2>\n\n\n\n
Besoin d’un coup de main ?<\/h2>\n\n\n\n