Un pirate a racheté 31 plugins WordPress actifs via Flippa, injecté une backdoor dormante pendant 8 mois, puis l’a activée en avril 2026 pour afficher du spam SEO invisible aux humains.
Serveur de commande : Sécurité WordPress : les plugins piratés
La backdoor utilise un smart contract Ethereum comme serveur de commande, rendant inutile le blocage des noms de domaine classiques et permettant à l’attaquant de changer de serveur à volonté.
La mise à jour officielle de WordPress.org ne nettoie pas le vrai point de persistance, obligeant les admins à supprimer manuellement le code malveillant de 6 Ko injecté dans les fichiers système.
Les 31 plugins concernés ont été fermés par WordPress le 7 avril, mais la mise à jour officielle ne suffit pas à nettoyer les sites touchés.
Pour comprendre l’ampleur de cette attaque, il est essentiel de considérer le nombre de sites Web qui utilisent ces plugins et la facilité avec laquelle un attaquant peut exploiter cette faille de sécurité.
Les plugins visés sont très populaires et sont utilisés par de nombreux sites Web, ce qui signifie que l’attaque a pu toucher un grand nombre de sites.
Le fonctionnement de la backdoor
L’attaque est redoutable par sa simplicité. Un individu a racheté un catalogue de plugins WordPress sur Flippa, y a injecté du code malveillant et a attendu huit mois avant de l’activer.
Le code malveillant a été injecté dès août 2025, mais il est resté dormant pendant huit mois. L’activation a eu lieu les 5 et 6 avril 2026.
Côté technique, l’attaque est assez vicieuse. Le module injecté utilise une désérialisation PHP pour communiquer avec un serveur de commande.
La backdoor utilise un smart contract Ethereum comme serveur de commande, ce qui permet à l’attaquant de changer de serveur à volonté et de rendre inutile le blocage des noms de domaine classiques.
Les conséquences de l’attaque
La vraie leçon, c’est que la confiance dans un plugin WordPress repose sur son historique, et qu’un changement de propriétaire peut tout remettre en question du jour au lendemain.
WordPress.org ne vérifie pas les changements de mains sur les comptes développeurs, et n’a aucun mécanisme d’alerte quand un catalogue entier passe à un nouvel acheteur.
Tant que ce trou existe, ce genre d’attaque peut se reproduire. Et le fait que la mise à jour officielle ne nettoie même pas les sites infectés, c’est quand même un problème.
Il est donc essentiel pour les administrateurs de sites Web de prendre des mesures pour protéger leurs sites contre ce type d’attaque, notamment en vérifiant régulièrement leurs plugins et leurs mises à jour.
La sécurité WordPress : une priorité
Il est essentiel de prendre des mesures pour protéger les sites WordPress contre ce type d’attaque.
Les admins doivent vérifier régulièrement leurs plugins et leurs mises à jour pour détecter toute anomalie.
La sécurité WordPress est une priorité, et il est important de prendre des mesures pour la renforcer, notamment en utilisant des plugins de sécurité et en mettant à jour régulièrement le site.
Enfin, il est important de noter que la sécurité WordPress est un processus continu et que les administrateurs de sites Web doivent être vigilants pour détecter et corriger les failles de sécurité.
Prévention et correction
Pour prévenir ce type d’attaque, il est essentiel de vérifier régulièrement les plugins et les mises à jour, et de supprimer tout code malveillant détecté.
Il est également important de mettre à jour régulièrement le site et les plugins pour éviter les failles de sécurité.
En cas d’attaque, il est essentiel de réagir rapidement pour minimiser les dégâts et de prendre des mesures pour prévenir de futures attaques.
