Le monde de WordPress est en alerte suite à la découverte d’une vulnérabilité majeure. Le plugin Smart Slider 3, utilisé par plus de 800 000 sites actifs, présente une faille de sécurité critique. Répertoriée sous la référence CVE-2026-3098, cette faille permet à des utilisateurs malveillants d’extraire des données hautement sensibles directement depuis le serveur d’hébergement. Par conséquent, une mise à jour immédiate est indispensable pour tous les administrateurs concernés.
Une lecture de fichiers arbitraires facilitée
La vulnérabilité se situe dans la fonction d’exportation du plugin, plus précisément au niveau de la classe ControllerSliders. Normalement, cette fonction permet de compiler un fichier ZIP contenant les paramètres et les images des diaporamas. Cependant, les chercheurs ont découvert que le système ne vérifie pas correctement les autorisations des utilisateurs.
Ainsi, même un utilisateur avec un simple rôle d’abonné peut déclencher cette exportation. Plus grave encore, le plugin ne limite pas le type de fichiers inclus dans l’archive. Un attaquant peut donc demander l’exportation de fichiers système au format .php. Cette lacune transforme un outil de design en une porte dérobée pour l’exfiltration de données.
Le fichier wp-config.php : La cible ultime des pirates
La menace la plus sérieuse concerne l’exposition du fichier wp-config.php. Ce fichier est le cœur de la sécurité de tout site WordPress. S’il est téléchargé par un tiers, l’attaquant obtient instantanément :
- Les identifiants de connexion à la base de données.
- Les clés de salage (salts) servant à sécuriser les sessions.
- La possibilité d’élever ses privilèges pour devenir administrateur total.
Cette faille du plugin WordPress Smart Slider 3 est particulièrement redoutable pour les sites autorisant l’inscription libre des utilisateurs. En effet, n’importe quel nouveau compte devient un vecteur d’attaque potentiel.
Chronologie de la découverte et correctifs
Le chercheur Dmitrii Ignatyev a identifié la faille et l’a signalée via le programme de Wordfence en février 2026. Suite à ce rapport, les événements se sont enchaînés rapidement :
- 24 février 2026 : Wordfence déploie un pare-feu de protection pour ses clients Premium.
- 24 mars 2026 : L’équipe de développement de Nextend publie la version corrective officielle.
- 26 mars 2026 : La protection est étendue aux utilisateurs de la version gratuite de Wordfence.
Les administrateurs doivent impérativement vérifier leur version du plugin. La version 3.5.1.34 est la seule qui neutralise définitivement cette menace.
Recommandations pour les administrateurs de sites
Pour sécuriser votre environnement, ne vous contentez pas de la mise à jour automatique. Suivez ces étapes de prudence :
- Mise à jour immédiate : Installez la version 3.5.1.34 de Smart Slider 3.
- Audit des comptes : Vérifiez la liste de vos abonnés pour repérer des inscriptions suspectes récentes.
- Changement des clés de salage : Si vous soupçonnez une intrusion, régénérez vos clés de sécurité dans le fichier
wp-config.php.
En conclusion, la faille du plugin WordPress Smart Slider 3 rappelle l’importance de la surveillance constante des extensions tierces. La sécurité d’un site web dépend souvent du maillon le plus faible de sa chaîne logicielle.
