Faille critique WordPress : passez en 7.1.2 sans attendre ⚠️

Une faille qui touche le cœur de WordPress

Quand on parle de faille WordPress, il s’agit le plus souvent d’une extension ou d’un thème mal codé. Cette fois, c’est WordPress lui-même qui est en cause. Concrètement, presque toutes les installations en circulation sont concernées, de la version 4.7 jusqu’à la 7.1.1.

Le problème se situe dans le mécanisme qui choisit le modèle de page à afficher. En manipulant certains paramètres de l’adresse, un visiteur malveillant peut pousser WordPress à inclure un fichier PHP situé en dehors du dossier du thème. L’équipe sécurité de WordPress lui attribue une note de 9,2 sur 10, ce qui la classe parmi les failles critiques.

Dans quels cas un pirate peut-il exécuter du code ?

Tous les sites ne sont pas exposés de la même façon. Pour aller jusqu’à l’exécution de code, deux conditions doivent être réunies :

• le thème actif, parent ou enfant, contient à sa racine un dossier dont le nom commence par « page- », par exemple « page-templates » ;
• un fichier PHP exploitable est présent et lisible sur le serveur, comme l’utilitaire pearcmd.php lorsque l’option PHP register_argc_argv est active.

Ce second point n’a rien d’exotique. D’après l’avis de sécurité officiel, l’image Docker officielle de PHP est concernée, tout comme la configuration cPanel par défaut avec une version de PHP antérieure à 8.5. Autrement dit, une bonne partie des hébergements mutualisés du marché.

Des attaques lancées en quelques heures

C’est ce qui rend cette faille si préoccupante. La société Patchstack a observé les premières tentatives le jour même de la publication du correctif. Il s’agissait d’abord de simples repérages, destinés à identifier les sites vulnérables. Dès le lendemain, le trafic avait été multiplié par dix et les attaquants essayaient d’écrire des fichiers sur les serveurs.

Des outils de scan publics circulent désormais, et l’agence américaine CISA a ajouté la faille à sa liste des vulnérabilités activement exploitées le 25 septembre. Quand un outil de scan est à la portée de tout le monde, chaque site non mis à jour finit par être testé. Ce n’est qu’une question de temps.

Comment protéger votre site WordPress

1. Vérifiez votre version de WordPress

Dans l’administration, ouvrez le menu Tableau de bord, puis Mises à jour : la version installée y est indiquée. Si vous êtes en 7.1.2 ou plus, le correctif est en place. Les mises à jour automatiques de sécurité sont activées par défaut, c’est vrai, mais elles échouent parfois sans prévenir : droits sur les fichiers, hébergeur trop restrictif, extension qui les désactive. Vérifiez, ne supposez pas.

2. Votre site tourne sur une ancienne version ?

Pas de panique. WordPress a rétroporté le correctif sur toutes les branches depuis la 4.7, si bien qu’un site resté en 6.x peut recevoir une version corrigée de sa branche sans sauter d’un coup à la 7.1. C’est une solution d’urgence, pas une stratégie : seule la dernière version de WordPress est réellement maintenue. Le détail des versions corrigées figure dans l’annonce officielle de WordPress 7.1.2.

3. Cherchez des traces d’intrusion

Si votre site est resté vulnérable plusieurs jours, la mise à jour ne suffit pas. Elle ferme la porte, mais elle ne met pas dehors un intrus déjà entré. Voici les signes à surveiller :

• des fichiers PHP inconnus dans les dossiers temporaires du serveur (/tmp ou /var/tmp), avec des noms du type poc87902.php ou wp-pear-rce-flag.php ;
• dans les journaux d’accès, des requêtes dont le paramètre « pagename » contient des séquences ../ encodées ;
• de nouveaux comptes administrateurs que personne chez vous n’a créés.

Attention, les fichiers déposés dans /tmp ne sont pas visibles depuis WordPress. Il faut passer par le serveur lui-même, en SSH ou via le gestionnaire de fichiers de votre hébergeur. Si ces manipulations ne vous sont pas familières, mieux vaut vous faire accompagner que de supprimer des fichiers au hasard.

4. Ajoutez une couche de protection

Un pare-feu applicatif, qu’il s’agisse de Wordfence, de Patchstack ou de celui de votre hébergeur, bloque une partie des attaques connues. Il ne remplace jamais une mise à jour. En revanche, il vous fait gagner un temps précieux la prochaine fois qu’une faille sortira un vendredi soir.