11 334 vulnérabilités ont été recensées dans l'écosystème WordPress sur la seule année 2025, et 91 % d'entre elles se trouvaient dans des extensions, pas dans le cœur du CMS (livre blanc Patchstack, l'éditeur qui opère cette base). C'est la nuance qui change tout : WordPress est massivement ciblé parce qu'il est massivement installé, et la porte d'entrée est presque toujours une extension. Non pas parce qu'il est intrinsèquement vulnérable, mais parce que la majorité des sites WordPress sont mal configurés, pas mis à jour et gérés sans conscience des risques. Chez Go To Agency, nous gérons la sécurité de nombreux sites WordPress pour nos clients. Voici ce qui est absolument indispensable.
Alerte en cours : la chaîne WP2Shell, à corriger sans attendre
Le CERT-FR, service de l'ANSSI, a publié le 20 juillet 2026 l'alerte CERTFR-2026-ALE-007 sur deux vulnérabilités du cœur de WordPress. Prises séparément elles sont graves ; enchaînées, elles portent un nom, WP2Shell, et elles donnent le contrôle complet du serveur à un attaquant qui n'a besoin d'aucun compte.
La première, CVE-2026-60137, est une injection SQL due à un défaut d'assainissement du paramètre author__not_in dans la classe WP_Query. La seconde, CVE-2026-63030, est une confusion de route sur l'API REST par lots, introduite dans la version 6.9.
La nuance qui décide de votre niveau de risque, et que presque personne n'écrit : en 6.8.x, seule l'injection SQL s'applique, donc le risque est l'exfiltration de votre base. À partir de la 6.9, la confusion de route permet d'enchaîner les deux jusqu'à l'exécution de code à distance non authentifiée : création d'un compte administrateur, dépôt d'une extension malveillante, prise de contrôle du serveur. Une version plus récente est ici plus exposée qu'une ancienne, ce qui est contre-intuitif et mérite d'être dit.
Versions concernées : 6.8.0 à 6.8.5, 6.9.0 à 6.9.4, et 7.0.0 à 7.0.1. Les correctifs sont les versions 6.8.6, 6.9.5 et 7.0.2. Le CERT-FR signale l'existence d'une preuve de concept publique et anticipe des tentatives d'exploitation en masse ; l'exploitation active est constatée depuis la divulgation du 17 juillet 2026. WordPress.org a forcé les mises à jour automatiques de sécurité sur les installations concernées, mais un site dont les mises à jour automatiques ont été désactivées, ce qui est fréquent après une personnalisation, ne les recevra pas.
Deux gestes, dans cet ordre. Vérifiez votre version exacte : elle s'affiche en bas du tableau de bord d'administration, ou dans le fichier wp-includes/version.php. Si vous êtes en deçà d'un correctif, appliquez-le. Si vous ne pouvez pas mettre à jour immédiatement, l'ANSSI recommande de bloquer l'accès non authentifié à l'API REST, en particulier le chemin /wp-json/batch/v1, au moyen d'un pare-feu applicatif. C'est un contournement, pas une correction : il vous fait gagner du temps, il ne vous en dispense pas.
Les mises à jour : la défense numéro un
91 % des vulnérabilités relevées en 2025 se situaient dans les extensions et 9 % dans les thèmes (Patchstack). La faille principale n'est donc pas technique, elle est humaine : une extension installée un jour pour un besoin ponctuel, jamais mise à jour depuis, et souvent oubliée.
Activez les mises à jour automatiques pour le core WordPress (les mises à jour de sécurité mineures) dans wp-config.php : define('WP_AUTO_UPDATE_CORE', 'minor');. Pour les plugins et thèmes, les mises à jour automatiques sont plus risquées (une mise à jour peut casser une fonctionnalité), mais vérifiez et appliquez manuellement les mises à jour de sécurité sous 48h.
Désactivez et désinstallez les plugins inactifs. Un plugin désactivé mais présent reste une surface d'attaque potentielle si son code contient des vulnérabilités. La règle : si vous n'utilisez pas, supprimez.
Authentification renforcée : au-delà du mot de passe
Authentification à deux facteurs (2FA) : obligatoire pour tous les comptes administrateurs. Les plugins Wordfence, WP 2FA ou Google Authenticator permettent de l'activer facilement. Avec le 2FA, même si votre mot de passe est compromis, le pirate ne peut pas se connecter sans le second facteur.
Changer l'URL de connexion : l'URL par défaut /wp-admin est connue de tous les bots d'attaque. Le plugin WPS Hide Login permet de la changer en n'importe quelle autre URL. Simple, mais efficace pour réduire le volume d'attaques brute force.
Limiter les tentatives de connexion : le plugin Limit Login Attempts Reloaded ou Wordfence bloque automatiquement une IP après un nombre défini de tentatives échouées. Essentiel pour contrer les attaques brute force.
Supprimer le compte "admin" : si votre compte administrateur s'appelle "admin", vous avez déjà donné la moitié des informations nécessaires à un pirate. Créez un nouveau compte administrateur avec un nom non évident, puis supprimez le compte "admin".
Pare-feu applicatif (WAF) et protection active
Wordfence : le plugin de sécurité WordPress le plus populaire (5 millions d'installations actives). Il inclut un WAF, un scanner de malware, la protection brute force et des alertes email en temps réel. La version gratuite est déjà très complète. La version Premium (99€/an) ajoute les règles firewall en temps réel et un accès à la liste noire d'IPs.
Cloudflare : idéalement, placez votre site WordPress derrière Cloudflare. Le plan gratuit offre déjà un WAF basique, une protection DDoS et un CDN. Le plan Pro (20€/mois) débloque un WAF plus complet et des règles personnalisées. Cloudflare filtre le trafic malveillant avant qu'il n'atteigne votre serveur.
iThemes Security : alternative à Wordfence, particulièrement adapté aux utilisateurs moins techniques. Interface plus simple, mais fonctionnalités légèrement plus limitées.
Sauvegardes : votre filet de sécurité ultime
Les sauvegardes ne préviennent pas les attaques, elles vous permettent de récupérer après. Et si votre site est compromis sans sauvegarde récente, vous perdez potentiellement des mois de travail.
La règle 3-2-1 : 3 copies de vos données, sur 2 types de médias différents, dont 1 hors site. Pour WordPress concrètement : sauvegarde automatique quotidienne stockée chez votre hébergeur + sauvegarde hebdomadaire envoyée sur un stockage externe (Amazon S3, Google Drive, Dropbox).
Outils recommandés : UpdraftPlus (gratuit, excellent) permet des sauvegardes automatiques planifiées vers les principaux services cloud. WP Time Capsule propose des sauvegardes incrémentales (seules les modifications sont sauvegardées, économisant espace et temps). VaultPress/Jetpack Backup est la solution premium de référence.
Testez vos restaurations : une sauvegarde qui ne peut pas être restaurée ne sert à rien. Testez la restauration de votre sauvegarde sur un environnement de staging au moins une fois par trimestre.
Headers HTTP de sécurité
Les headers HTTP de sécurité renforcent la sécurité côté navigateur sans modifier votre code applicatif. Les plus importants :
Content-Security-Policy (CSP) : définit quelles sources de scripts, styles et médias sont autorisées. Prévient les attaques XSS. La configuration est complexe mais essentielle pour les sites qui gèrent des données sensibles.
X-Frame-Options: DENY : empêche votre site d'être intégré dans une iframe sur d'autres domaines (protection contre le clickjacking).
Strict-Transport-Security (HSTS) : force les connexions HTTPS. Avec max-age=31536000, le navigateur refuse de se connecter en HTTP pendant un an.
Ces headers s'ajoutent dans le fichier .htaccess (Apache) ou la configuration Nginx. Vérifiez votre score sur securityheaders.com.
Pour savoir où vous en êtes sans rien demander à personne, notre outil d'audit en ligne mesure votre site en quelques secondes, sans inscription ni adresse email. Si vous voulez qu'un humain regarde votre installation et vous dise ce qui est urgent et ce qui peut attendre, décrivez-la dans le formulaire de cadrage : réponse écrite sous 24 heures ouvrées, sans appel ni rendez-vous. Et si la mise à jour vous fait peur parce que le site a été personnalisé, c'est justement le moment d'en parler : c'est le cas le plus fréquent, et le plus risqué à laisser en l'état.
