Les dernières attaques via le plugin de newletter MailPoet et plus récemment la faille Revolution Slider qui a touché pas moins de 1000 thèmes premium, ont fait beaucoup de bruit.

L'information a été diffusée partout, par tous... Ces attaques mettent l'accent sur d'éventuels problèmes de sécurité récurrents sous WordPress, qu'en est-il vraiment?

WordPress plus exposé aux failles de sécurité ?

Ainsi Drupal, Prestashop, Joomla seraient moins exposé aux failles que WordPress?

Avant même de commencer, n'oublions pas de prendre en compte la prédominance de ce dernier, WordPress est à ce jour utilisé par plus de 23% des sites Web dans le monde, de fait il devient une cible privilégiée des hackers en tout genre.

Ensuite, il serait bon de ne pas confondre WordPress, les thèmes et les plugins. Le noyau de WordPress est rarement responsable de ces failles et si quand bien même, alors la mise à jour est quasi immédiate.

On oublie trop souvent que WordPress est rendu friable/exploitable aux attaques par le biais des plugins ou des thèmes!

Le Directory (répertoire des plugins gratuits WordPress) est une ressource appréciée de tous mais elle ne garantit en rien que les plugins soient "secure" ou absents de toute erreur de code. Il appartient à l'utilisateur, et à lui seul, de s'assurer que le plugin qu'il va installer est absent de toute faille de sécurité.

Rendez-vous compte que si 2 plugins activement maintenus tels que MailPoet et Revolution Slider ont pu être vulnérables, que dire des centaines de plugins présents sur le Directory et plus du tout mis à jour!

Comment s'en assurer me direz-vous ? Et bien en vous basant sur les retours des autres utilisateurs, en cherchant un peu sur le Web et en faisant une veille sécurité WordPress.

Comment traiter l'information des failles de sécurité ?

De l'importance de traiter ces informations sans pour autant aggraver la situation peut parfois conduire à des dérives. J'en veux pour exemple la déclaration de Themepunch (développeur de Revolution Slider) à qui l'on reproche son manque de transparence sur l'affaire Envato:

La faille a été résolue en février et il y a eu 29 mises à jour depuis... On nous a dit de ne pas rendre cette faille publique afin qu'elle soit le moins exploitée possible...

Ouch, ça fait froid dans le dos ! Themepunch n'est toutefois pas le seul responsable, surtout si l'on pense que le "on" n'est autre que Envato lui-même!

Comment protéger son WordPress ?

Comment se protéger  et protéger son site ? Et bien en vous basant sur les retours des autres utilisateurs, en cherchant un peu sur le Web et en faisant une veille sécurité WordPress.

Sur WPServeur nous effectuons ce travail pour vous en vous proposant notamment:

• une veille technique assidue,
• l'auto désactivation des plugins/thèmes contenant des failles,
• une liste de plugins sûrs et maintenus,
• en mettant à votre disposition sauvegarde/restauration en 1 clic,
• un WordPress mieux sécurisé dès son installation.

En attendant soyez prudent lorsque vous installez un plugin et pour ceux qui ne connaissent pas encore, je vous conseille le compte Twitter de @SecuPress pour être informé des dernières failles de sécurité connues.