Des hackers cherchent à s’engouffrer dans une brèche qui peut exposer un site WordPress pendant sa mise à jour. La version 7.1.4 corrige le problème depuis le 28 octobre, mais Wordfence a déjà repéré plus de 18 500 requêtes suspectes.
Il n’a fallu que quelques heures pour que des attaquants tentent de profiter de l’une des failles corrigées par WordPress 7.1.4. Le 28 octobre dernier, Wordfence, le spécialiste de la sécurité des sites WordPress, a ainsi repéré une première requête suspecte neuf minutes seulement après l’activation de sa règle de protection, elle-même déployée environ trois heures après la publication de la mise à jour.
Le piège se cache dans les fichiers temporaires
La faille, signalée par le chercheur Umut Bayram, concerne le cœur de WordPress, des versions 4.7 à 7.1.3. Lors de certaines mises à jour utilisant un paquet complet du logiciel, les fichiers sont décompressés dans un dossier temporaire au nom prévisible, sous wp-content/upgrade. Cette copie contient un installateur auquel un visiteur peut accéder si le serveur laisse ce répertoire accessible et autorise l’exécution de PHP. Dans ces conditions, un attaquant sans compte peut parvenir à exécuter du code sur le serveur.
Les hackers doivent toutefois accéder à l’installateur temporaire avant que WordPress ne supprime les fichiers. Selon les essais rapportés par Wordfence, ils ne disposent que de quelques secondes. Ils envoient donc des requêtes à répétition dans l’espoir de surprendre un site au moment où sa mise à jour est en cours. Au total, le spécialiste de la sécurité aurait comptabilisé plus de 18 500 requêtes en 21 heures. Ce chiffre comptabilise les requêtes suspectes détectées sans permettre de savoir combien de sites ont réellement été piratés.
- moodVersion d'essai disponible
- settingsHébergé / pré-installé
- storage1 Go à 200 Go de stockage
- extensionPlugins disponibles
- format_paintThemes disponibles
- shopping_bagAdapté aux sites e-commerce
Bloquer l’accès public au dossier wp-content/upgrade ?
WordPress 7.1.4 rend notamment le nom du dossier temporaire aléatoire et renforce les protections autour de l’installation. Cette version corrige aussi des failles permettant d’injecter du code dans des pages, de divulguer des informations ou de contourner certaines permissions, pour un total de 22 vulnérabilités traitées.
Les administrateurs peuvent contrôler leur version dans Tableau de bord > Mises à jour. Des correctifs sont également proposés pour les anciennes branches jusqu’à la 4.7, mais seule la version la plus récente bénéficie d’un support actif.
Un pare-feu peut compléter la mise à jour, à condition de disposer des règles adaptées et d’être correctement configuré. Chez Wordfence, le mode Extended Protection permet aussi de filtrer les accès directs aux fichiers PHP. Enfin, les administrateurs peuvent également demander à leur hébergeur de bloquer l’accès public au dossier wp-content/upgrade. Au jeu du chat et de la souris, qui sera le plus rapide ?
Sources : WordPress et Wordfence via Cybersecuritynews
