WordPress alimente plus de 43% des sites web mondiaux. Cette omniprésence en fait la cible la plus attaquée du web. Des milliers de CVE sont publiées chaque année concernant WordPress, ses thèmes et ses plugins. Voici comment naviguer dans cet environnement.
Pourquoi WordPress concentre autant de CVE ?
La surface d'attaque de WordPress est triple :
- Le core WordPress — relativement bien maintenu par l'équipe de sécurité officielle
- Les plugins — 60 000+ dans le dépôt officiel, qualité très variable
- Les thèmes — plusieurs milliers, souvent abandonnés par leurs développeurs
La réalité : 94% des attaques WordPress visent des plugins vulnérables, pas le core.
Les types de CVE WordPress les plus courants
Injection SQL
Les plugins qui construisent des requêtes SQL sans paramétrage sont vulnérables. Exemple classique :
// Vulnérable
$results = $wpdb->get_results("SELECT * FROM wp_posts WHERE author = " . $_GET['id']);
// Sécurisé
$results = $wpdb->get_results($wpdb->prepare("SELECT * FROM wp_posts WHERE author = %d", $_GET['id']));
Une injection SQL peut permettre l'extraction de la base de données complète, y compris les hashs de mots de passe.
Cross-Site Scripting (XSS)
Les XSS stockés (persistent XSS) sont particulièrement dangereux dans WordPress car un contenu malveillant injecté une fois dans la base de données est servi à tous les visiteurs. Un admin qui visite une page infectée peut voir ses cookies volés, menant à une compromission totale.
Broken Access Control / IDOR
WordPress utilise un système de rôles (admin, editor, author, subscriber). Les plugins qui ne vérifient pas correctement les permissions permettent à un utilisateur de faible privilège d'effectuer des actions réservées aux admins.
Remote Code Execution via upload
Les plugins de gestion de fichiers (File Manager, WP File Manager) ont été à l'origine de nombreuses CVE critiques permettant l'upload de fichiers PHP exécutables.
CVE WordPress notables
CVE-2024-4439 — WordPress Core XSS (CVSS 7.2)
Une XSS stockée dans le bloc Avatar de WordPress 6.5.0 et antérieures. Permettait l'injection de scripts depuis les commentaires.
CVE-2023-6553 — Backup Migration Plugin RCE (CVSS 9.8)
Une RCE non authentifiée dans le plugin Backup Migration (500 000+ installations) via l'inclusion de fichiers PHP distants.
CVE-2023-3460 — Ultimate Member Plugin (CVSS 9.8)
Un contournement de l'enregistrement des utilisateurs dans Ultimate Member permettait la création de comptes admin sans authentification. Exploité massivement pour installer des backdoors.
CVE-2022-0739 — BookingPress Plugin (CVSS 9.8)
Une injection SQL non authentifiée dans BookingPress permettait l'extraction complète de la base de données via l'API de réservation.
Comment mettre en place une veille CVE WordPress
1. Suivre les sources officielles
- WPScan Vulnerability Database (wpscan.com) — la référence pour les CVE WordPress
- Wordfence Intelligence — analyses détaillées et statistiques
- Patchstack — alerts en temps réel
2. Utiliser cveo.tech pour la surveillance
Sur cveo.tech, vous pouvez :
- Rechercher directement
wordpress [nom-plugin]pour voir les CVE associées - Enregistrer votre stack WordPress comme équipement dans le parc
- Recevoir des alertes automatiques dès qu'une nouvelle CVE est publiée
3. Automatiser les mises à jour
# Via WP-CLI — à intégrer dans un cron
wp core update
wp plugin update --all
wp theme update --all
4. Désactiver les plugins inutilisés
Un plugin désactivé mais toujours installé reste vulnérable. WordPress n'exécute pas le code d'un plugin désactivé, mais les fichiers sont présents et peuvent être directement ciblés si le serveur web les expose.
Mesures de durcissement complémentaires
| Mesure | Impact |
|---|---|
| Désactiver l'éditeur de thème/plugin dans le dashboard | Bloque la modification de code via l'admin |
| Limiter les tentatives de login | Réduit le risque de brute force |
| Authentification 2 facteurs sur les comptes admin | Mitigation du vol de session |
| Désactiver XMLRPC si inutilisé | Réduit la surface d'attaque (brute force, DDoS) |
Fichier wp-config.php hors de la racine web | Empêche l'accès direct au fichier de config |
| Headers de sécurité (CSP, HSTS) | Mitigation XSS et downgrade HTTPS |
Conclusion
La sécurité d'un site WordPress n'est pas un état mais un processus continu. La veille CVE est indispensable — un plugin populaire non patché peut exposer des millions de sites en quelques heures.
Mettez en place une surveillance automatique de vos composants WordPress sur cveo.tech.