WordPress : une faille critique permet de prendre le contrôle de sites web
Le 20 juillet, WordPress a publié une mise à jour de sécurité d’urgence pour corriger « wp2shell », une vulnérabilité critique affectant le cœur de son CMS. Cette faille permet à un attaquant de prendre le contrôle d’un site web vulnérable sans avoir besoin de s’authentifier. Des codes d’exploitation étant déjà disponibles publiquement et les premières campagnes de recherche de sites vulnérables ayant été observées, il est recommandé aux organisations de déployer les correctifs sans attendre.
Commentaire de Bernard Montel, Field CTO EMEA chez le spécialiste de la gestion de l’exposition Tenable :
« Les vulnérabilités touchant WordPress sont particulièrement sensibles, car elles concernent un écosystème très largement déployé, souvent composé de sites web principaux, de sites secondaires, de pages événementielles ou d’anciens environnements encore accessibles en ligne. Dans ce cas, le danger est d’autant plus important qu’un attaquant n’a pas besoin de disposer d’un compte ou d’identifiants pour agir. En exploitant ces failles, il peut envoyer des requêtes spécialement conçues au site vulnérable afin de lui faire exécuter du code à distance. Cela peut ensuite permettre de modifier des contenus, d’ajouter une porte dérobée, de voler des données, d’héberger des campagnes de phishing ou d’utiliser le site compromis comme point d’appui vers d’autres systèmes de l’organisation. Une vulnérabilité sur un actif web peut ainsi avoir des conséquences bien au-delà de sa seule fonction principale.
Le véritable enjeu n’est plus seulement de savoir combien d’instances WordPress sont déployées, mais lesquelles sont réellement accessibles aux attaquants. Entre les environnements de développement oubliés, les sites temporaires, les infrastructures héritées ou les services exposés par des prestataires, la surface d’attaque évolue en permanence. La difficulté est donc moins de gérer les actifs connus que de découvrir ceux qui échappent encore à la gouvernance.
Aujourd’hui, les campagnes de scan automatisées apparaissent très rapidement après la divulgation publique d’une vulnérabilité critique, parfois en quelques minutes seulement. Les attaquants ne ciblent pas toujours une organisation en particulier, car ils cherchent à grande échelle toutes les instances vulnérables disponibles sur Internet. La question n’est donc plus de savoir qui est visé, mais qui sera identifié et compromis avant d’avoir eu le temps d’appliquer les correctifs nécessaires.
La priorité est d’identifier les instances WordPress exposées, de vérifier les versions concernées, d’appliquer les correctifs et de rechercher d’éventuels signes d’exploitation. Mais cette réponse ne peut pas rester ponctuelle. Une bonne hygiène cyber repose sur une connaissance continue des actifs exposés sur Internet, des vulnérabilités qui les affectent et de leur niveau réel d’exploitabilité. Sans cette visibilité, il devient difficile de distinguer les alertes critiques du bruit et de concentrer les efforts de remédiation sur les risques les plus importants.
Les attaques opportunistes se nourrissent des angles morts. Un site oublié, un environnement de test exposé ou une mise à jour retardée peuvent suffire à ouvrir une porte d’entrée. La rapidité de détection est désormais aussi importante que la rapidité de correction. »
