WordPress : les mises à jour automatiques ne suffisent pas à écarter le risque

En bref

Des vulnérabilités critiques sont signalées dans le cœur de certaines versions de WordPress, avec un risque de prise de contrôle à distance sans authentification. Des correctifs ont été déployés, mais les entreprises doivent vérifier qu'ils ont effectivement atteint leurs installations et rechercher d'éventuels signes de compromission.

Ce qui change

Des correctifs et des mises à jour automatiques forcées ont été déployés face aux vulnérabilités signalées. La présence de ce mécanisme ne dispense pas de contrôler l'état réel des installations WordPress exploitées.

Pourquoi ça compte

Une installation restant vulnérable pourrait être compromise, avec des effets possibles sur la disponibilité du site, les ventes, les données, la réputation et les coûts de remédiation. Le fait que le signal concerne le cœur de WordPress élargit potentiellement l'exposition au-delà des utilisateurs d'une extension particulière.

Qui est concerné

Les entreprises exploitant WordPress, les e-commerçants, les agences web, les hébergeurs et les équipes techniques administrant un ou plusieurs sites WordPress.

Action à faire

1. 1Vérifier que les correctifs ont effectivement été appliqués aux installations WordPress concernées.
2. 2Ne pas considérer la seule activation des mises à jour automatiques comme une preuve de correction effective.
3. 3Examiner les environnements concernés à la recherche d'éventuels signes de compromission.
4. 4Traiter tout indice d'exploitation comme un possible incident de sécurité selon les contrôles internes de l'organisation.