Le 28 octobre, WordPress a publié la version 7.1.4, une mise à jour de sécurité. Le 30 octobre, Wordfence indique avoir bloqué 62 969 tentatives d'exploitation en 24 heures. La faille n'a pas de numéro CVE. Elle est notée 8,1 sur 10, et elle concerne le cœur, de la branche 4.7 jusqu'à la 7.1.3.
Le point utile pour un dirigeant : un site qui ne bouge pas n'est pas la cible de cette faille-là. La cible, c'est le site pendant qu'il se met à jour.
La fenêtre
Lors d'une mise à jour complète du cœur, WordPress dépose d'abord les nouveaux fichiers dans un dossier temporaire, sous wp-content/upgrade, avant de les installer. Cette copie contient aussi l'installateur. Sur beaucoup d'hébergements, le dossier est accessible depuis le web, et son nom est prévisible.
Un visiteur qui demande cet installateur au bon moment peut faire exécuter du code sur le serveur. En laboratoire, la fenêtre dure quelques secondes : WordPress efface ensuite les fichiers temporaires. L'exploitation suppose quatre conditions en même temps : une mise à jour complète du paquet, un dossier temporaire accessible en PHP, un chemin prévisible, et assez de temps pour agir avant le nettoyage.
Le correctif est dans la 7.1.4. Il est aussi reporté sur les branches encore éligibles aux correctifs de sécurité. Seule la dernière version est activement supportée. La prochaine version majeure, la 7.2, est annoncée pour le 8 décembre.
Des scanners guettent la fenêtre
La fenêtre est courte, mais elle se laisse attendre. Wordfence décrit des sources qui interrogent en boucle un petit nombre de sites, pendant environ 14 heures, pour tomber sur le bon instant. D'autres essaient plusieurs noms de dossiers temporaires. Les requêtes visent des fichiers comme setup-config.php dans l'arborescence de mise à jour.
Ce n'est pas une attaque qui casse un site au repos. C'est une course. Elle devient réaliste dès que des scanners surveillent en permanence les sites au moment où leur mise à jour démarre.
Le reste du lot
La 7.1.4 corrige aussi plusieurs failles de script intersite stocké : dans des blocs fabriqués pour l'occasion, dans les demandes de suppression de données personnelles, dans l'API d'interactivité, dans le Customizer, dans le bloc Catégories, et dans des identifiants d'utilisateurs piégés. L'une d'elles peut servir à saturer le site. Des modifications non publiées du Customizer pouvaient être lues sans compte.
Le paquet de certificats racine livré avec WordPress est mis à jour, à cause de la révocation eMudhra. Le même sujet, côté postes et serveurs, est traité dans les correctifs Brotli et PHP2Shell. Les failles d'extensions restent un chantier à part : la liste du 24 octobre.
Que faire
Il faut quand même passer en 7.1.4. Rester sur la 7.1.3 laisse en place l'ancien mécanisme de mise à jour, celui qui est visé. Le passage lui-même utilise encore cet ancien mécanisme : la fenêtre existe pour cette mise à jour-là, puis elle se referme.
- Sauvegarder les fichiers et la base avant de lancer la mise à jour.
- Mettre à jour depuis Tableau de bord, Mises à jour. Si les mises à jour automatiques en arrière-plan sont actives, elles démarrent seules. Il faut quand même vérifier que la version affichée est la 7.1.4.
- Contrôler que wp-content/upgrade ne contient plus de fichiers PHP oubliés. Regarder aussi les comptes administrateur, les extensions et les fichiers PHP apparus à la racine.
- Vider le cache, y compris le CDN s'il y en a un, puis ouvrir l'accueil, une page intérieure et l'administration.
Si la mise à jour s'est arrêtée au milieu, ne pas la relancer en boucle. Une sauvegarde récente et un regard sur le dossier temporaire priment.
Ce que couvre le contrat
Sur les sites que nous maintenons, cette mise à jour est faite après sauvegarde, avec contrôle du dossier temporaire et vérification des pages clés. C'est le cœur de la maintenance WordPress à 500 HT / an.
Le détail de la version est sur l'annonce WordPress 7.1.4. Le décompte des tentatives est celui de Wordfence, repris le 30 octobre par The Hacker News.
À retenir
La 7.1.4 ferme une exécution de code possible pendant la mise à jour du cœur, pas sur un site qui reste immobile. Des scanners guettent déjà cette fenêtre. Passez en 7.1.4, puis vérifiez que le dossier temporaire est vide et qu'aucun compte administrateur inconnu n'est apparu.
Vous voulez que nous le fassions sur votre site ? Envoyez-nous son adresse.