Comment une faille d'extension est exploitée
Le scénario est presque toujours le même. Un chercheur — ou un attaquant — découvre une faille dans une extension populaire. Elle est publiée, référencée sous un identifiant CVE, et un correctif sort. À partir de ce moment, la faille est connue publiquement : des robots parcourent le web à la recherche des sites qui n'ont pas encore appliqué la mise à jour.
C'est le paradoxe de la divulgation : le jour où un correctif est publié, le risqueaugmente pour ceux qui ne l'installent pas, car la faille est désormais documentée. La fenêtre entre la sortie du correctif et son installation est le moment le plus dangereux de la vie d'une extension.
Le piège du « nulled »
Un thème ou une extension premium proposé gratuitement en téléchargement — « nulled » — n'est jamais vraiment gratuit. Le prix, c'est le code qu'on y a ajouté.
Le modèle économique du « nulled » repose précisément sur l'infection. Celui qui distribue gratuitement une extension normalement payante y greffe une porte dérobée, un injecteur de liens ou un script de spam. Vous installez l'outil, il fonctionne comme promis — et le code malveillant travaille en silence. C'est l'un des vecteurs d'infection les plus fréquents, et l'un des plus évitables : la règle est simple, on installe uniquement depuis le répertoire officiel WordPress.org ou depuis l'éditeur légitime.
Réduire la surface d'attaque
- Mettez à jour sans attendre. Une mise à jour de sécurité qui traîne une semaine est une semaine d'exposition à une faille désormais publique.
- Désinstallez ce que vous n'utilisez pas. Une extension désactivée mais toujours présente reste exploitable. Supprimez-la, ne la désactivez pas seulement.
- Bannissez le nulled, sans exception. L'économie réalisée est sans commune mesure avec le coût d'un nettoyage et d'une perte de données.
- Choisissez des extensions maintenues. Une extension abandonnée par son auteur ne recevra jamais le correctif de sa prochaine faille. Vérifiez la date de dernière mise à jour avant d'installer.
- Surveillez après coup. Réduire le risque ne l'annule pas. Un scan régulier détecte ce qui aurait franchi vos précautions.
Ce qu'un scanner voit — et ne voit pas
Soyons précis pour ne pas vous vendre une fausse tranquillité. Un scanner de malware détecte le code malveillant déjà présent — la porte dérobée cachée dans un thème nulled, l'injecteur greffé après l'exploitation d'une faille. En revanche, il ne vous dira pas qu'une extension est vulnérable mais pas encore exploitée : détecter les vulnérabilités connues est le travail d'un autre type d'outil, qui compare vos versions installées à des bases de CVE. Les deux approches sont complémentaires, et aucune ne remplace la mise à jour.
Vérifier ce qui se cache dans vos extensions
Genisoft Security analyse le contenu de vos thèmes et extensions avec le moteur YARA, et repère les portes dérobées et injecteurs qu'un thème nulled aurait pu introduire. Chaque résultat est classé par niveau de certitude. Vous pouvez consulter un rapport réel sans créer de compte.
Voir un rapport réel →Sur le fonctionnement de la détection, voir notre guide des webshells et backdoors.