Ce qui s'est passé
Cette semaine, des chercheurs en sécurité ont découvert plusieurs failles graves dans des plugins WordPress très utilisés : le thème Travelscape, le plugin Background Image Cropper et le thème Seotheme. Ces bugs permettent à n'importe quel hacker, sans avoir besoin de se connecter à ton site, de télécharger des fichiers malveillants ou même d'exécuter du code pour prendre le contrôle complet de ton site.
En clair : un attaquant peut accéder à ta base de données contenant tous tes clients, tes commandes, tes données de paiement. Il peut aussi modifier ton site pour le rendre invisible ou le transformer en machine à envoyer des emails de phishing à tes clients.
Est-ce que ça me concerne ?
Oui, si tu utilises un site WordPress avec des plugins ou des thèmes. Les failles découvertes cette semaine ciblent des extensions populaires utilisées par des milliers de petites entreprises en France.
Même si tu ne reconnais pas le nom exact du plugin, tu risques d'être concerné. Beaucoup de webmasters installent des extensions sans vraiment savoir ce qu'elles font. As-tu un formulaire de contact ? Un curseur pour ajuster les images ? Un système de galerie photos ? C'est probablement un plugin à vérifier.
Que faire maintenant ?
- Regarde tes plugins installés : connecte-toi à l'admin WordPress, clique sur « Extensions » et vérifie la liste. Des plugins que tu ne reconnais pas ? Supprime-les immédiatement.
- Mets à jour tout ce qui peut l'être : dans cette même section, clique sur « Mettre à jour » pour chaque plugin qui en a besoin. Les mises à jour, c'est ta première ligne de défense contre les hackers.
- Supprime les plugins inutilisés : chaque plugin installé, même désactivé, représente un risque. Si tu ne l'utilises plus, supprime-le complètement.
- Fais une sauvegarde avant de modifier quoi que ce soit : au cas où tu supprimerais quelque chose par erreur. Chez ton hébergeur, tu trouves généralement cette option en quelques clics.
- Change tes mots de passe administrateur WordPress : si tu penses avoir été exposé, change immédiatement ton mot de passe de connexion WordPress depuis n'importe quel navigateur.
Et si je ne suis pas sûr ?
Ne laisse pas la panique te paralyser. Une grosse partie des PME françaises utilisent WordPress, et la plupart gèrent bien cette situation en mettant à jour régulièrement. Si tu veux vérifier que ton site n'a pas déjà été compromis ou qu'il n'y a pas d'autres failles cachées, notre scan WordPress gratuit détecte automatiquement ce type de vulnérabilité en quelques minutes → Scanner mon site maintenant. C'est gratuit et sans engagement.