Une faille WordPress activement exploitée peut encore frapper pendant l'installation même de son correctif, selon Picus.

Une faille WordPress activement exploitée réserve une mauvaise surprise aux administrateurs. En effet, même l’installation du correctif peut laisser un site exposé une dernière fois. C’est ce qu’affirme Umut Bayram, chercheur chez Picus Security, qui a découvert la vulnérabilité.

Cette situation est paradoxale. En effet, appliquer la mise à jour est le réflexe recommandé après chaque alerte. Pourtant, le moment précis de cette opération peut ouvrir une brève fenêtre d’attaque.

Pourquoi cette faille WordPress persiste pendant la mise à jour

Le mécanisme est simple à comprendre. D’abord, la mise à jour qui apporte le correctif doit extraire ses fichiers. Or cette étape s’appuie encore sur l’ancien code du site. Ce code n’est pas corrigé.

Autrement dit, le correctif n’est pas actif au moment où il s’installe. Ainsi, le code vulnérable reste en service pendant tout le déploiement. Un pirate qui agit au bon moment peut donc en profiter.

Les conséquences sont sérieuses. Selon le chercheur, un attaquant bien synchronisé peut exécuter du code sur le serveur. Il ne s’agit donc pas d’un simple défaut d’affichage ou d’un problème mineur. En effet, une exécution de code donne souvent un contrôle étendu sur le site et son environnement.

Par ailleurs, la faille d’origine est déjà exploitée activement. Les attaquants la connaissent donc et la testent sur des sites réels. Cette réalité renforce le risque. En effet, ils n’ont pas besoin de découvrir la brèche eux-mêmes.

Le rôle du chercheur de Picus Security

Umut Bayram travaille pour Picus Security, un éditeur spécialisé dans la validation de la sécurité. Ainsi, c’est lui qui a identifié ce comportement du processus de mise à jour. Son analyse montre que le problème ne se limite pas à la faille initiale. En effet, le processus d’installation du correctif présente lui aussi une faiblesse.

Cette découverte rappelle une leçon importante. Un correctif n’est efficace qu’une fois entièrement appliqué. Par conséquent, entre le lancement de la mise à jour et sa fin, le site reste dans un état intermédiaire. Cet état est parfois plus fragile qu’on ne le pense.

Il faut toutefois rester prudent sur certains détails. Les informations disponibles ne précisent pas tous les éléments techniques de l’attaque. Les administrateurs doivent donc consulter les avis officiels. Ils y trouveront les versions et les conditions exactes concernées.

Comment réduire le risque sur votre site

Le chercheur propose une mesure de contournement. Elle consiste à bloquer l’accès web à un élément du site pendant l’opération. Toutefois, les détails de cette recommandation doivent être vérifiés dans l’avis du chercheur avant toute application. Ainsi, l’objectif est de fermer la porte d’entrée avant que le code vulnérable ne soit remplacé.

En complément, plusieurs bonnes pratiques générales s’appliquent. Elles ne remplacent pas les consignes officielles. Cependant, elles limitent l’exposition.

• Planifier la mise à jour à un moment de faible trafic, afin de réduire la fenêtre d’exposition.
• Restreindre l’accès au site pendant l’opération, par exemple avec un mode maintenance ou une règle de pare-feu.
• Sauvegarder les fichiers et la base de données avant d’installer le correctif.
• Surveiller les journaux du serveur pour repérer toute requête inhabituelle.
• Contrôler l’intégrité des fichiers après la mise à jour.

Ensuite, il convient de vérifier que le site n’a pas déjà été compromis. En effet, une faille exploitée activement peut avoir servi avant même le correctif. Il faut donc chercher des fichiers inconnus, des comptes administrateurs suspects ou des tâches planifiées inattendues.

Enfin, les hébergeurs et les agences qui gèrent plusieurs sites doivent agir en priorité. En effet, un déploiement massif de mises à jour sans précaution multiplie les occasions d’attaque. Il vaut mieux traiter les sites par lots et surveiller chaque étape.

Ce qu’il faut retenir sur la faille WordPress

Cette affaire met en lumière un angle mort fréquent. On pense souvent que la sécurité revient dès que la mise à jour est lancée. Pourtant, elle ne revient qu’à la fin de l’installation.

• La faille est activement exploitée, ce qui rend l’urgence réelle.
• L’installation du correctif utilise encore l’ancien code non corrigé.
• Un attaquant bien placé peut exécuter du code sur le serveur.
• Le chercheur Umut Bayram, de Picus Security, recommande de bloquer certains accès web pendant l’opération.
• Après la mise à jour, une vérification de compromission reste indispensable.

Par conséquent, ne repoussez pas l’installation du correctif. Préparez-la simplement avec plus de rigueur. Ainsi, réduisez l’accès au site, sauvegardez vos données, puis contrôlez le résultat. Cette discipline limite le risque de subir une attaque au pire moment.

Source : Installing the Fix for an Exploited WordPress Flaw Can Expose Some Sites One Last Time