La section commentaires qui vous semblait inoffensive

Avouons-le : on fait confiance à WordPress pour filtrer les horreurs. C'est littéralement le job de wp_kses. Cette fonction est censée bloquer les scripts malveillants, les injections d'iframe, tous ces payloads que les attaquants adorent cacher dans les formulaires de commentaires.

Sauf que WordPress 7.1.1 vient de prouver que cette confiance était mal placée.

Une vulnérabilité XSS persistante dans le système de commentaires permettait aux attaquants de glisser du code malveillant directement past the sanitizer. Le pire ? L'attaque fonctionnait via les commentaires anonymes — ceux que votre site accepte probablement par défaut. Aucun privilège nécessaire. Juste un payload bien conçu et une installation vulnérable.

Pourquoi c'est particulièrement méchant

Le XSS persistant, ça change tout par rapport au XSS réfléchi : le script malveillant s'installe définitivement dans votre base de données. Chaque visiteur qui charge la page du commentaire se fait frapper. Session hijacking, vol d'identifiants, distribution de malware, réputation en ruines — tout ça se déclenche automatiquement quand quelqu'un affiche une page qu'on croyait anodine.

Le fait que le payload ait "passé le filtre" est exactement ce qui rend cette histoire énorme. Ça signifie que les attaquants ont trouvé une faille créative dans le traitement HTML des commentaires WordPress. On ne parle pas d'un plugin mal configuré ou d'un développeur paresseux. C'est une vulnérabilité profonde dans la gestion du contenu généré par les utilisateurs.

Onze correctifs et un backport à ne pas négliger

WordPress 7.1.1 ne se résume pas à ce fix XSS. La mise à jour inclut onze rustines de sécurité au total, et WordPress a backporté ces correctifs jusqu'à la version 4.7. Si vous tourniez sur quelque chose de plus ancien, vous étiez en territoire dangereux.

Ce backport vers 4.7 en dit long : WordPress ne s'embarque pas dans ce genre de travail pour des broutilles. Soit la vulnérabilité était activement exploitée, soit la surface d'attaque méritait une attention immédiate sur toutes les branches supportées.

Ce que vous devez faire maintenant

1. Mettez à jour immédiatement — Oui, même si vous êtes en plein something. Ce type de vulnérabilité se weaponize vite une fois les détails rendus publics.

2. Auditez votre modération des commentaires — Vérifiez s'il n'y a pas de commentaires suspects qui seraient passés avant le correctif. Supprimez tout ce qui ressemble à du JavaScript encodé ou des attributs href étranges.

3. Réactivez la modération des commentaires — Si vous l'avez désactivée pour simplifier, rallumez-la. Une revue manuelle attrape les payloads que les sanitizers peuvent louper.

4. Envisagez un CAPTCHA — Ça ne bloquera pas tous les vecteurs d'attaque, mais ça réduit considérablement le volume de spam et donc la surface d'exposition.

Le tableau complet

WordPress fait tourner environ 40% du web. Chaque patch de sécurité touche des millions de sites d'un coup — et c'est précisément pour ça que les attaquants adorent cibler WordPress. L'omniprésence de la plateforme en fait une cible de choix.

Cet incident met aussi en lumière une vérité gênante : les fonctions de sanitization ne sont pas infaillibles. Ce sont des regex et de la logique de parsing, avec leurs cas limites. La défense en profondeur, c'est du concret. Sanitization côté client, en-têtes Content Security Policy, encodage propre en frontend — autant de couches qui vous protègent quand les vérifications côté serveur foirent.

Ne wait pas d'être le titre de l'actu

Les patches de sécurité, c'est pas du的建议. Quand WordPress sort une mise à jour pour combler une vulnérabilité XSS, le compte à rebours commence. Les scanners d'attaque passent en mode actif dans les heures qui suivent la disclosure publique.

Mettez à jour. Testez d'abord sur votre environnement de staging si vous craignez les problèmes de compatibilité. Mais faites-le aujourd'hui.

Votre section commentaires — et tous ceux qui la visitent — vous en seront reconnaissants.

Restez secure. La sécurité de votre installation WordPress ne vaut que ce que vaut votre engagement à la tenir à jour.