Ce plugin WordPress très populaire peut donner les clés de millions de sites aux hackers

Une faille critique touche All-in-One WP Migration and Backup, un plugin installé sur plus de cinq millions de sites WordPress. Un mécanisme d’injection SQL a été découvert et il est capable de livrer aux attaquants les clés d’administration complètes d’un site, à partir d’une simple donnée soumise sans connexion préalable.

Le répertoire WordPress.org recense plus de cinq millions d’installations actives du plugin All-in-One WP Migration and Backup. Son éditeur, la société ServMask, propose cet outil pour sauvegarder et transférer les données d’un site vers un autre hébergeur. Mais le chercheur en sécurité Jack Taylor a découvert dans ce plugin une faille d’injection SQL, référencée CVE-2026-19949 et notée 8,8 sur 10 sur l’échelle CVSS, et l’a signalée à Wordfence le 14 août. ServMask a publié un correctif six jours plus tard, la version 7.110. Pourtant, à l’heure où est rédigé cet article, seuls 35 % des utilisateurs avaient installé cette mise à jour. Sur les cinq millions de sites concernés, environ 3,25 millions n’ont donc pas encore appliqué le correctif.

Une prise de contrôle en deux temps, sans authentification

WordPress propulse 40,7 % des sites Internet dans le monde. C’est proportionnel, une faille dans l’un de ses plugins les plus installés touche une part considérable de la Toile. Chez All-in-One WP Migration and Backup, on part d’un trackback, cette fonction de WordPress ouverte à tout site externe, sans identifiant requis, pour signaler un lien vers un article.

Dans ce champ, un attaquant insère une donnée truquée, avec des antislashs mal positionnés dans le nom du site. Un administrateur déclenche malgré lui l’injection en restaurant ensuite une sauvegarde du site, car le plugin n’échappe pas correctement les guillemets et les antislashs de la donnée piégée.

Grâce à cette faille, l’attaquant extrait la clé secrète du plugin et la republie dans un commentaire visible depuis l’API REST publique de WordPress. Muni de cette clé, l'attaquant importe alors une archive contenant un code malveillant et prend le contrôle intégral du site.

Avec un tel accès, l'attaquant installe ensuite l’extension de son choix, y compris une porte dérobée. À ce jour toutefois, aucune preuve d’exploitation active n’a été recensée.

Les recommandations officielles de Cybermalveillance.gouv.fr

On vous en parlait il y a un mois, de cette faille référencée CVE-2026-32475 et notée 9 sur 10 sur l’échelle de gravité CVSS touchait Elementor Pro, un autre plugin WordPress très répandu. Le chercheur TF1T a transmis sa découverte au programme de primes de Patchstack le 16 juillet, et l’éditeur du plugin a publié un correctif un mois plus tard, le 19 août, avec la version 4.2.2. Entre-temps, un attaquant sans la moindre identification pouvait déposer du code malveillant sur des millions de sites équipés de ce plugin, en profitant d’une vérification défaillante des fichiers envoyés via les formulaires. Les deux plugins comptent chacun plusieurs millions d’installations, et les deux failles aboutissent, en dernier ressort, à une prise de contrôle complète du site visé.

Et c’est très sérieux, puisque Cybermalveillance.gouv.fr a publié le 23 juillet une alerte sur deux failles critiques affectant le cœur de WordPress, avec des données transmises par l’ANSSI et le CERT-FR. Le dispositif recommandait alors l’installation immédiate des correctifs disponibles et, à défaut, la restriction de l’accès public à l’API REST de WordPress, le canal détourné dans le cas d’All-in-One WP Migration and Backup.

Wordfence a déployé une règle de pare-feu pour ses abonnés payants dès le 16 août, deux jours après le signalement de Jack Taylor. Les utilisateurs de la version gratuite du pare-feu ne recevront cette protection automatique que le 15 septembre, un mois après la publication du correctif par ServMask.