La majorité non corrigée : un signal d’alarme pour la sécurité WordPress

Voici un chiffre qui devrait mettre mal à l’aise tous les propriétaires de sites WordPress : 3,2 millions de sites web fonctionnent encore avec une version vulnérable d’All-in-One WP Migration, une extension très utilisée pour déplacer des installations WordPress entre hébergeurs et serveurs.

La vulnérabilité, corrigée dans la version 7.110, est désormais connue du public depuis environ deux semaines. On pourrait penser que ce délai est suffisant pour que les correctifs soient déployés dans l’écosystème WordPress. Ce serait une erreur.

Les chiffres ne mentent pas

Environ deux tiers des installations d’All-in-One WP Migration restent non corrigées. Prenez le temps de réaliser l’ampleur du problème. Pour chaque site mis à jour vers la version sécurisée, deux autres continuent d’exécuter du code vulnérable. En termes absolus, cela représente des millions de points d’entrée potentiels pour des acteurs malveillants.

Ce qui rend cette situation particulièrement alarmante, c’est que la chaîne d’exploitation complète est désormais publiquement disponible. Cela signifie que toute personne disposant de connaissances techniques de base – sans compétences avancées en piratage – peut potentiellement compromettre ces sites. La barrière à l’exploitation a considérablement baissé.

Pourquoi cela se produit-il encore ?

Ce schéma se répète dans le paysage de la sécurité web et soulève une question fondamentale : pourquoi tant de propriétaires de sites retardent-ils les mises à jour de sécurité critiques ?

Le manque de sensibilisation reste la principale cause. De nombreux propriétaires de sites ne disposent pas de systèmes de surveillance pour les alerter lors de la sortie de mises à jour d’extensions. Ils ignorent simplement que leur site est vulnérable.

L’anxiété liée aux mises à jour est un autre facteur. Certains administrateurs craignent que la mise à jour des extensions ne casse le fonctionnement de leur site. Bien que cette préoccupation ne soit pas totalement infondée, laisser des vulnérabilités connues non corrigées est bien plus dangereux qu’un éventuel problème de compatibilité.

Une infrastructure d’hébergement insuffisante joue également un rôle. Les hébergeurs de qualité devraient proposer des outils permettant d’automatiser et de gérer les mises à jour de sécurité, mais ce n’est pas le cas de tous.

Ce que cela implique pour votre site WordPress

Si vous utilisez All-in-One WP Migration, le message est clair : mettez à jour immédiatement. Si vous gérez plusieurs installations WordPress – que ce soit pour des clients ou vos propres projets – vous avez besoin d’une approche systématique pour la maintenance des extensions.

Voici à quoi ressemble une posture de sécurité solide :

Activez les mises à jour automatiques pour les correctifs de sécurité critiques. La plupart des environnements d’hébergement le permettent, ce qui élimine le facteur de délai humain.

Tenez un inventaire de toutes les extensions et thèmes présents sur vos installations. On ne peut pas protéger ce dont on ignore l’existence.

Surveillez les avis de sécurité publiés par WordPress et les développeurs d’extensions. Lorsqu’une vulnérabilité critique est annoncée, traitez-la comme une urgence.

Choisissez des hébergeurs qui prennent la sécurité au sérieux. Recherchez des fournisseurs offrant des environnements de préproduction (staging), des sauvegardes automatisées et des outils de surveillance de sécurité.

La vision globale

Il ne s’agit pas seulement d’une extension. Il s’agit du défi permanent que représente le maintien de la sécurité dans un écosystème où des milliers de développeurs contribuent du code et où des millions de propriétaires de sites sont responsables de la mise à jour de ce code.

La plateforme WordPress alimente plus de 40 % de tous les sites web sur Internet. Cette empreinte massive en fait une cible attractive pour les attaquants. Chaque extension non corrigée est un vecteur potentiel pour l’injection de logiciels malveillants, le vol de données ou la prise de contrôle complète du site.

La sécurité est un partenariat

Que vous gériez un blog personnel, une boutique en ligne ou un site d’entreprise, la sécurité relève ultimement de votre responsabilité. Votre hébergeur peut fournir des outils et une infrastructure, mais la maintenance quotidienne consistant à maintenir vos logiciels à jour vous incombe, ou à la personne à qui vous avez délégué cette tâche.

Chez NameOcean, nous comprenons qu’un hébergement sécurisé va au-delà de la simple fourniture de serveurs. Il s’agit de donner à nos clients les connaissances et les outils nécessaires pour