Le 6 avril 2026, des milliers de sites WordPress ont été silencieusement compromis via les plugins que leurs administrateurs avaient eux-mêmes installés et auxquels ils faisaient confiance depuis des années. C’est ce qu’on appelle une attaque par chaîne d’approvisionnement.
Ce qui s’est passé
Un acheteur anonyme a racheté début 2025 une trentaine de plugins WordPress de l’éditeur Essential Plugin — sliders, galeries, FAQ, formulaires WooCommerce — cumulant plus de 400 000 installations. Peu après, une porte dérobée a été insérée dans leur code, camouflée dans un simple changelog de mise à jour. Elle est restée inactive 8 mois.
Le 6 avril 2026, la backdoor s’est activée. En moins de 7 heures, du code malveillant a été injecté dans des milliers de fichiers wp-config.php : création d’un compte administrateur invisible, vol de données de formulaires, pages spam, redirections frauduleuses.
Pourquoi c’est dangereux pour les PME
5 réflexes à avoir maintenant
- Vérifier vos plugins installés — supprimez tout plugin inutilisé ou d’origine inconnue
- Contrôler les comptes administrateurs — Utilisateurs > Administrateur, supprimez tout compte non reconnu (et vérifiez en base de données)
- Lancer un scan Wordfence complet — restaurez les fichiers core modifiés
- Inspecter wp-config.php via FTP — supprimez tout bloc PHP illisible en début de fichier
- Changer tous les mots de passe — WordPress, base de données, FTP, hébergeur
La leçon pour votre infrastructure
Un site WordPress mal suivi est une porte d’entrée vers vos données clients. Limiter les plugins au strict nécessaire, maintenir des sauvegardes quotidiennes testées et surveiller Wordfence sont les trois pratiques qui permettent de détecter ce type d’attaque avant qu’il ne soit trop tard.
Votre site WordPress est-il sécurisé ?
ASCOËT Technologies réalise un audit de sécurité complet de votre site et de votre infrastructure — réponse sous 24h, sans engagement.