Sommaire
Les attaquants n’ont pas traîné : à peine deux jours après la sortie de WordPress 7.1.4, Wordfence annonce avoir bloqué 62 969 tentatives d’exploitation en 24 heures visant la faille d’exécution de code du processus de mise à jour. La faille, notée 8,1/10, touche toutes les versions de WordPress de la 4.7 à la 7.1.3 : pendant quelques secondes, lors d’une mise à jour complète du cœur, les fichiers sont déballés dans un dossier prévisible sous wp-content/upgrade, accessible depuis le web — et l’installateur qui s’y trouve peut alors être appelé par un visiteur non connecté. La première tentative a été détectée neuf minutes seulement après la mise en place de la règle de protection Wordfence.
Bonne nouvelle : la fenêtre d’attaque est si étroite qu’aucune compromission confirmée n’a été signalée pour l’instant, et les attaquants se contentent surtout de sonder les chemins en boucle — notamment setup-config.php — en espérant tomber sur une mise à jour en cours. Mauvaise nouvelle : la règle Wordfence gratuite n’arrivera que le 27 novembre. En attendant, la seule vraie protection, c’est la mise à jour : passez en 7.1.4, ou à la version de sécurité de votre branche, puis vérifiez vos journaux (requêtes suspectes vers wp-content/upgrade, comptes administrateurs ou fichiers PHP inconnus).
Lento dit : 63 000 tentatives en une journée pour une fenêtre de quelques secondes : les attaquants, eux, ne prennent pas de week-end. Rester en 7.1.3 en espérant passer entre les gouttes, c’est jouer à la loterie avec son site. La mise à jour prend cinq minutes — faites-la avant de devenir la statistique de demain.
