Une nouvelle vulnérabilité critique, baptisée wp2shell, suscite une vive inquiétude dans l’écosystème WordPress. Selon les informations publiées par plusieurs chercheurs en sécurité, cette faille permettrait à un attaquant non authentifié d’exécuter du code à distance sur des installations WordPress standards, sans avoir besoin d’exploiter un plugin ou un thème tiers.
Si cette vulnérabilité est confirmée, elle pourrait concerner un très grand nombre de sites web. WordPress alimente environ 43 % du Web mondial, soit plusieurs centaines de millions de sites Internet, selon les statistiques officielles de la fondation WordPress : https://wordpress.org/about/stats/ .
Une vulnérabilité baptisée « wp2shell »
La faille a été surnommée wp2shell par les chercheurs qui l’ont identifiée. Elle serait liée à un composant du noyau WordPress et non à une extension vulnérable, ce qui la distingue de la majorité des incidents de sécurité observés ces dernières années.
D’après les premières analyses, le problème proviendrait d’une mauvaise validation des entrées dans une fonctionnalité du cœur de WordPress. Cette faiblesse pourrait permettre à un attaquant d’injecter des commandes malveillantes et d’obtenir une exécution de code sur le serveur hébergeant le site.
Les détails techniques complets n’ont pas encore été publiés afin d’éviter une exploitation massive avant la disponibilité d’un correctif.
Aucun plugin nécessaire
L’un des aspects les plus préoccupants de cette vulnérabilité est qu’elle affecterait des installations WordPress par défaut, sans qu’aucun plugin vulnérable ne soit installé.
Concrètement, un site WordPress fraîchement installé et exposé à Internet pourrait théoriquement être ciblé si la faille est exploitable dans les conditions décrites par les chercheurs.
Cette situation est particulièrement critique pour les hébergeurs mutualisés, les agences web et les organisations gérant un grand nombre de sites WordPress.
Un risque d’exécution de code à distance
Une vulnérabilité RCE (Remote Code Execution) permet à un attaquant d’exécuter des commandes sur le serveur distant.
En cas d’exploitation réussie, un cybercriminel pourrait :
- installer des portes dérobées ;
- modifier le contenu du site ;
- voler des données sensibles ;
- déployer des scripts malveillants ;
- utiliser le serveur compromis pour lancer d’autres attaques.
Les vulnérabilités RCE figurent parmi les failles les plus dangereuses selon le MITRE et le NIST, car elles peuvent conduire à une compromission complète du système : https://www.cve.org/ .
Les équipes WordPress enquêtent
À l’heure actuelle, les équipes de sécurité de WordPress n’ont pas encore publié de correctif officiel ni confirmé publiquement tous les détails de la vulnérabilité.
Les administrateurs sont invités à surveiller les canaux officiels de WordPress, notamment :
- le site de sécurité : https://wordpress.org/news/category/security/
- les notes de publication : https://wordpress.org/download/releases/
- la base de données des vulnérabilités : https://wpscan.com/ .
Que doivent faire les administrateurs ?
Dans l’attente d’un correctif officiel, plusieurs mesures de précaution sont recommandées :
- maintenir WordPress à jour ;
- désactiver les comptes inutilisés ;
- limiter les accès administratifs ;
- surveiller les journaux du serveur web ;
- activer un pare-feu applicatif (WAF) ;
- effectuer des sauvegardes régulières et hors ligne.
Les administrateurs utilisant des solutions de protection comme Cloudflare, Sucuri ou Wordfence peuvent également vérifier si des règles de protection temporaires ont été publiées.
Une vulnérabilité à surveiller de très près
Même si tous les détails techniques ne sont pas encore disponibles, wp2shell représente potentiellement l’une des vulnérabilités les plus importantes affectant le noyau WordPress ces dernières années.
La possibilité d’une exécution de code à distance sans authentification sur des installations standards pourrait avoir des conséquences majeures pour l’écosystème WordPress. Les administrateurs de sites sont donc encouragés à suivre attentivement les annonces officielles et à appliquer immédiatement les correctifs dès leur publication.
