Le conseil de s\u00e9curit\u00e9 le plus r\u00e9pandu pour WordPress est une variante de \u00ab gardez tout \u00e0 jour en permanence \u00bb. Ce n’est pas faux, mais ce n’est pas non plus assez pr\u00e9cis pour \u00eatre utile. Certaines mises \u00e0 jour sont critiques et exigent une attention le jour m\u00eame. D’autres sont mineures et peuvent attendre la prochaine fen\u00eatre de maintenance. Les traiter de la m\u00eame mani\u00e8re conduit soit \u00e0 des mises \u00e0 jour incessantes et perturbantes, soit, plus souvent, \u00e0 un site fig\u00e9 o\u00f9 personne ne met plus rien \u00e0 jour parce que chaque mise \u00e0 jour semble risqu\u00e9e.<\/p>\n\n\n\n
Voici un syst\u00e8me de tri pragmatique pour les mises \u00e0 jour de s\u00e9curit\u00e9 de WordPress, avec trois exemples concrets qui montrent comment l’appliquer.<\/p>\n\n\n\n
Niveau 1 : Critique. Action le jour m\u00eame. Exploitation active constat\u00e9e, ex\u00e9cution de code \u00e0 distance, contournement de l’authentification, ou toute vuln\u00e9rabilit\u00e9 pour laquelle un correctif est disponible, quel que soit le jour ou l’heure.<\/p>\n\n\n\n
Niveau 2 : Important. Action sous 7 jours. Vuln\u00e9rabilit\u00e9 v\u00e9rifi\u00e9e, aucune exploitation active observ\u00e9e pour l’instant, score CVSS de 7,0 \u00e0 8,9. Appliquez le correctif lors de la prochaine fen\u00eatre de maintenance planifi\u00e9e, mais n’attendez pas deux semaines. La plupart des mises \u00e0 jour de s\u00e9curit\u00e9 rel\u00e8vent de ce niveau.<\/p>\n\n\n\n
Niveau 3 : Mineur. Prochaine maintenance planifi\u00e9e. Vuln\u00e9rabilit\u00e9s de faible gravit\u00e9 (CVSS inf\u00e9rieur \u00e0 7,0), mises \u00e0 jour incluant des am\u00e9liorations de s\u00e9curit\u00e9 mais pas de correctifs critiques, ou versions de maintenance g\u00e9n\u00e9rale. \u00c0 appliquer lors de la maintenance mensuelle habituelle.<\/p>\n\n\n\n
La base de donn\u00e9es de vuln\u00e9rabilit\u00e9s WPScan (gratuite pour les v\u00e9rifications individuelles) et Patchstack maintiennent toutes deux des flux en temps r\u00e9el des vuln\u00e9rabilit\u00e9s des extensions et th\u00e8mes WordPress, avec un score CVSS. Pour chaque extension que vous utilisez, vous pouvez vous abonner aux alertes. L’extension de Wordfence fait \u00e9galement remonter les CVE pertinents dans le tableau de bord d’administration.<\/p>\n\n\n\n
Les trois questions \u00e0 se poser face \u00e0 toute divulgation de vuln\u00e9rabilit\u00e9 : la vuln\u00e9rabilit\u00e9 est-elle connue publiquement et exploit\u00e9e ? Quel est le score CVSS ? L’exploitation n\u00e9cessite-t-elle un utilisateur authentifi\u00e9, ou n’importe qui peut-il la d\u00e9clencher ? \u00ab Publique, non authentifi\u00e9e, score 9+ \u00bb est la pire combinaison et signifie presque toujours Niveau 1.<\/p>\n\n\n\n
Une extension de formulaires populaire a publi\u00e9 un correctif corrigeant un contournement de l’authentification. Score CVSS 9,8. Une exploitation active a \u00e9t\u00e9 signal\u00e9e le jour m\u00eame de la sortie du correctif. Version affect\u00e9e : toutes celles ant\u00e9rieures au correctif.<\/p>\n\n\n\n
R\u00e9ponse : appliquez le correctif en quelques heures. Si le site ne peut pas \u00eatre corrig\u00e9 imm\u00e9diatement, d\u00e9sactivez l’extension jusqu’\u00e0 ce que ce soit possible. C’est le genre de vuln\u00e9rabilit\u00e9 qui compromet des sites \u00e0 grande \u00e9chelle en un seul week-end.<\/p>\n\n\n\n
Un th\u00e8me utilis\u00e9 par plusieurs clients d’une agence r\u00e9v\u00e8le une vuln\u00e9rabilit\u00e9 de XSS stock\u00e9. CVSS 7,4. Attaquant authentifi\u00e9 uniquement. Aucune exploitation active observ\u00e9e.<\/p>\n\n\n\n
R\u00e9ponse : planifiez-le pour la fen\u00eatre de maintenance de cette semaine. Testez d’abord la mise \u00e0 jour sur un environnement de pr\u00e9production, puis d\u00e9ployez-la en production sous cinq jours ouvr\u00e9s. Le risque est r\u00e9el, mais pas imm\u00e9diat.<\/p>\n\n\n\n
Une extension SEO populaire publie une version mineure qui inclut des \u00ab am\u00e9liorations de s\u00e9curit\u00e9 \u00bb aux c\u00f4t\u00e9s de travaux sur les fonctionnalit\u00e9s. Aucun CVE pr\u00e9cis mentionn\u00e9, aucun score de gravit\u00e9, aucune menace active.<\/p>\n\n\n\n
R\u00e9ponse : appliquez-la lors de la maintenance mensuelle habituelle, avec les autres mises \u00e0 jour de routine. Faible urgence.<\/p>\n\n\n\n
Pour le Niveau 1, la r\u00e9ponse est : d\u00e9sactivez ou corrigez imm\u00e9diatement, analysez le site \u00e0 la recherche d’indicateurs de compromission (fichiers modifi\u00e9s, nouveaux comptes administrateurs, t\u00e2ches planifi\u00e9es inattendues), et partez du principe que le site a pu \u00eatre touch\u00e9 si la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 publique plus d’une journ\u00e9e avant d’\u00eatre corrig\u00e9e.<\/p>\n\n\n\n
Pour le Niveau 2, la r\u00e9ponse est : corrigez en pr\u00e9production, testez, d\u00e9ployez en production, documentez.<\/p>\n\n\n\n
Pour le Niveau 3, la r\u00e9ponse est : regroupez avec d’autres mises \u00e0 jour et appliquez le tout dans un lot planifi\u00e9.<\/p>\n\n\n\n
Le plus grand obstacle \u00e0 l’application rapide des mises \u00e0 jour est la peur de tout casser. \u00ab Et si la mise \u00e0 jour de l’extension casse le site ? \u00bb est une pr\u00e9occupation l\u00e9gitime, et la r\u00e9ponse est : environnement de pr\u00e9production d’abord, puis production. Un flux de travail qui commence par la pr\u00e9production transforme les mises \u00e0 jour d’une d\u00e9cision stressante en une t\u00e2che de routine.<\/p>\n\n\n\n
Le deuxi\u00e8me obstacle est de ne pas savoir quelles mises \u00e0 jour comptent. Le syst\u00e8me de tri ci-dessus r\u00e8gle ce probl\u00e8me. Une fois qu’une entreprise dispose d’un syst\u00e8me, les d\u00e9cisions deviennent routini\u00e8res au lieu d’\u00eatre des arbitrages \u00e0 chaque fois.<\/p>\n\n\n\n