Une faille WordPress d'exécution de code à distance, notée 8,1, a subi près de 63 000 tentatives d'attaque en 24 heures.

Une nouvelle faille WordPress attire déjà les cybercriminels. En effet, des acteurs malveillants ont tenté de l’exploiter peu après la publication des correctifs. Selon les observations rapportées, près de 63 000 tentatives d’attaque ont été enregistrées en seulement 24 heures. Ce chiffre montre à quel point les attaquants surveillent les mises à jour du célèbre CMS.

Une faille WordPress exploitée dès la publication des correctifs

La vulnérabilité touche le cœur de WordPress, et non un simple plugin. Il s’agit d’une exécution de code à distance, souvent abrégée en RCE. Autrement dit, un attaquant pourrait faire exécuter ses propres commandes par le serveur qui héberge le site.

Les correctifs ont été publiés en octobre. Toutefois, la date exacte n’est pas précisée dans les informations dont nous disposons. En revanche, la réaction des attaquants a été rapide. Ainsi, ils ont lancé des tentatives d’exploitation peu après la diffusion des mises à jour.

Ce scénario n’a rien d’inhabituel. En effet, un correctif publié dévoile indirectement la nature du problème. Les attaquants comparent les versions, identifient la modification et construisent leur attaque. Pendant ce temps, de nombreux sites sont mis à jour trop tard.

Ce que l’on sait de la vulnérabilité

Voici les éléments techniques confirmés à ce stade :

• le type de faille : exécution de code à distance (RCE) ;
• le logiciel concerné : WordPress Core ;
• les versions touchées : de la 4.7 à la 7.1.3 ;
• le score CVSS : 8,1 ;
• l’identifiant CVE : aucun n’a été attribué.

Un score de 8,1 place la faille dans la catégorie de gravité élevée. Il ne s’agit donc pas d’une alerte mineure. Toutefois, il n’atteint pas le niveau critique, réservé aux scores de 9,0 et plus.

La plage de versions est également très large. Elle s’étend de la 4.7 à la 7.1.3. Par conséquent, un grand nombre d’installations, parfois anciennes, pourraient être exposées. Ainsi, les sites qui n’ont jamais été mis à niveau sont particulièrement à risque.

Par ailleurs, les informations disponibles ne détaillent pas le mécanisme technique de la faille. Elles n’indiquent pas non plus si l’attaque exige une authentification ou une configuration particulière. Il faudra donc suivre les avis officiels pour en savoir plus.

Pourquoi près de 63 000 tentatives en 24 heures

Ce volume s’explique par l’automatisation. Les attaquants utilisent des scanners qui balayent Internet à la recherche de sites vulnérables. Ensuite, ils testent une même requête sur des milliers de cibles. Le nombre de tentatives ne reflète donc pas le nombre de sites compromis.

Il faut le dire clairement : une tentative n’est pas une intrusion réussie. Les données fournies ne mentionnent aucune compromission confirmée. Cependant, le niveau d’activité suffit à prouver que la menace est réelle. De plus, il laisse penser que les opérateurs d’attaques opportunistes se sont emparés du sujet très vite.

L’absence d’identifiant CVE complique aussi le suivi. En effet, beaucoup d’outils de gestion des vulnérabilités s’appuient sur ces références. Sans CVE, une faille peut passer sous les radars de certaines équipes. C’est pourquoi les administrateurs ne doivent pas se contenter de leurs alertes automatiques. Ils doivent aussi consulter directement les annonces de sécurité de WordPress.

Protéger son site contre la faille WordPress

La première action est évidente. Il faut mettre à jour WordPress vers une version corrigée, dès que possible. Les sites qui disposent des mises à jour automatiques du cœur sont déjà avantagés. En revanche, les autres doivent agir manuellement, sans attendre.

Ensuite, quelques mesures complémentaires réduisent le risque :

• vérifier la version de WordPress installée sur chaque site, y compris les sites secondaires ou oubliés ;
• effectuer une sauvegarde complète avant la mise à jour, puis la conserver hors du serveur ;
• examiner les journaux du serveur web pour repérer des requêtes inhabituelles ou répétitives ;
• activer également un pare-feu applicatif (WAF) pour filtrer le trafic malveillant ;
• rechercher des fichiers inconnus, des comptes administrateurs récents ou des tâches planifiées suspectes.

Enfin, les hébergeurs et les agences qui gèrent de nombreux sites devraient dresser un inventaire rapide. En effet, une seule installation oubliée peut servir de point d’entrée vers le reste de l’infrastructure.

Ce qu’il faut retenir

• Une faille RCE de gravité élevée (CVSS 8,1) touche WordPress Core, des versions 4.7 à 7.1.3.
• Aucun identifiant CVE n’a été attribué. Une veille manuelle s’impose donc.
• Près de 63 000 tentatives d’attaque ont été observées en 24 heures.
• Les correctifs sont disponibles depuis octobre : la mise à jour est donc la priorité.
• Après la mise à jour, il reste prudent de contrôler les journaux et l’intégrité du site.

Source : WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours