WordPress fait tourner près de la moitié du web, ce qui en fait la plateforme la plus ciblée d’Internet. En 2025, le paysage des menaces a évolué de telle sorte que la plupart des stratégies de sécurité classiques se sont révélées insuffisantes : le nombre de vulnérabilités a fortement augmenté, les délais d’exploitation se sont réduits à quelques heures et les malwares sont devenus plus aptes à survivre au nettoyage.
Cette synthèse s’appuie sur les données de sécurité 2025 pour montrer aux propriétaires de sites WordPress et WooCommerce les risques réels auxquels leurs sites sont exposés, et les mesures concrètes qui comblent les failles.
Quelle a été l’ampleur des vulnérabilités WordPress en 2025 ?
11,334+42%
Nouvelles vulnérabilités
Découvertes dans l’écosystème WordPress en 2025, en hausse par rapport à l’année précédente.
4,124Action nécessaire
Mitigation requise
Suffisamment graves pour nécessiter une mitigation active.
1,966Gravité élevée
Risque d’exploitation massive
Plus de failles de gravité élevée que les deux années précédentes réunies.
Ce n’est pas une tendance progressive. C’est une nette accélération de l’intérêt des attaquants pour WordPress.
D’où viennent les vulnérabilités
Extensions91%
De l’ensemble des vulnérabilités nouvellement signalées.
Thèmes9%
Le reste des nouveaux signalements.
Cœur de WordPress6 failles
Toutes de faible priorité. Le cœur n’est pas le problème — ce sont les couches tierces qui s’y ajoutent.
Les extensions premium sont-elles vraiment plus sûres ?
Non. Les composants premium constituent souvent le principal angle mort. Une étude ciblée des composants vendus sur les places de marché premium, dont Envato, a relevé :
- Près de 2 000 signalements valides concernant des composants premium ou freemium — 29 % de l’ensemble des signalements.
- 76% des vulnérabilités des composants premium étaient exploitables dans des attaques réelles.
- 3× de vulnérabilités exploitées connues en plus que les composants gratuits.
- 33 zero-days critiques dans les composants premium, contre 12 dans les gratuits.
Ce n’est pas que les extensions premium soient développées avec moins de soin. Les chercheurs ont un accès limité au code payant, donc moins de regards l’examinent. Moins d’examen signifie moins de conscience du risque, pas moins de risque.
Combien ont été corrigées avant leur divulgation ?
Seulement 54 %. Les 46 % restantes ont été rendues publiques avant que le développeur ne publie un correctif, livrant souvent les détails aux attaquants avant que les propriétaires de sites aient quoi que ce soit à installer. Les mises à jour d’extensions ne peuvent pas constituer à elles seules votre stratégie de sécurité quand près de la moitié des failles divulguées n’ont pas encore de correctif.
La rapidité des attaquants après une divulgation
Plus vite que la plupart des calendriers de mise à jour. Pour les vulnérabilités les plus ciblées, le délai médian pondéré entre la divulgation et l’exploitation active était de cinq heures, et environ la moitié des vulnérabilités à fort impact ont été exploitées dans les 24 heures — précisément au moment où la plupart des administrateurs ne sont pas encore au courant ou n’ont pas encore appliqué le correctif.
Ce qui est le plus exploité
Le contrôle d’accès défaillant est en tête de la liste 2025. Il est difficile à contrer, car les attaques ressemblent à un comportement normal d’utilisateur connecté, sans chaîne d’injection évidente qu’un pare-feu traditionnel pourrait intercepter. Autres catégories très exploitées :
- Cross-site scripting stocké non authentifié
- Téléversement de fichiers non authentifié
- Contournement d’autorisation
- Élévation de privilèges
- Injection d’objets PHP
Des extensions WooCommerce figurent dans le top 10 des cibles, dont une élévation de privilèges de 2023 dans WooCommerce Payments, toujours exploitée sur les boutiques non corrigées.
Les défenses d’hébergement standard tiennent-elles le coup ?
Pas suffisamment. Des tests d’intrusion menés chez plusieurs hébergeurs ont montré que les configurations standard, y compris les WAF internes et Cloudflare, ne bloquaient que 26 % des tentatives d’exploitation WordPress — et seulement 12 % face aux vulnérabilités exploitées connues. Les règles WAF génériques gèrent raisonnablement bien les attaques génériques, mais passent à côté des catégories propres à WordPress à l’origine de la plupart des exploitations réelles.
Ce qui se passe après la compromission d’un site
Pourquoi les malwares sont plus difficiles à supprimer aujourd’hui
Les attaquants injectent de plus en plus de code dans des fichiers légitimes du cœur, des extensions ou des thèmes, plutôt que de déposer des fichiers malveillants autonomes. Comme le fichier de base est légitime, les scanners fondés sur la suppression le signalent de manière irrégulière ou passent à côté — et le supprimer casse le site. Le nettoyage consiste désormais à retirer chirurgicalement l’extrait d’un fichier par ailleurs valide.
Il existe un schéma saisonnier
Les téléversements de fichiers malveillants ont presque triplé en novembre et décembre 2025. Le quatrième trimestre combine pic de trafic et effectifs réduits, ce qui diminue pour les attaquants le risque d’une détection rapide. Les boutiques qui mènent des promotions de fin d’année traversent la période la plus risquée de l’année avec le moins de personnes disponibles pour réagir.
Les familles de malwares les plus actives en 2025
Technique d’évasionTouchez pour ouvrir
Diffusion sélective de contenu
Des campagnes comme Japanese SEO spam, jgalls et Parrot TDS affichent un contenu différent selon les visiteurs : du spam aux robots d’exploration, des redirections de phishing aux humains, des pages propres aux propriétaires et aux scanners. Parrot TDS détecte désormais aussi les robots d’entraînement des IA. Souvent, on ne s’en aperçoit que lorsque les clients se plaignent ou que le trafic organique s’effondre.
Persistance en mémoire
Lock360 s’exécute dans la mémoire du serveur, pas dans des fichiers. Nettoyez index.php ou .htaccess, et le processus réécrit aussitôt le code malveillant. Le cycle se poursuit jusqu’à ce que le processus en mémoire soit tué — ce dont la plupart des scanners standard sont incapables.
Infrastructure de téléversement
Les scripts de téléversement ont presque doublé en juin 2025 et sont restés à un niveau élevé. Ils permettent aux attaquants de déployer de nouvelles charges utiles à volonté : un site nettoyé d’une infection peut donc être réinfecté par un script de téléversement dormant qui a survécu.
À quoi ressemble le paysage à l’aube de 2026
Le développement assisté par IA accélère la production d’extensions sur mesure : des agences génèrent des fonctionnalités à la demande et associent des front-ends React construits par IA à un back-end WordPress. La surface d’attaque s’étend ainsi au-delà du cœur, des extensions et des thèmes, jusqu’aux composants sur mesure, aux paquets JavaScript et aux dépendances PHP que les scanners WordPress standard n’ont pas été conçus pour évaluer.
Les mêmes outils d’IA qui accélèrent la création de sites aident aussi les attaquants à trouver et exploiter des faiblesses de manière autonome.
Enfin, le Cyber Resilience Act de l’UE pousse les éditeurs d’extensions commerciales à mettre en place des programmes formels de divulgation des vulnérabilités. La plupart n’ont pas encore les ressources pour traiter de gros volumes de signalements, ce qui risque de creuser l’écart entre la découverte d’une faille et l’existence d’un correctif.
Ce que les propriétaires de boutiques doivent faire dès maintenant
Où en est votre boutique ?0 sur 6 en place
Cochez ce que votre boutique a déjà mis en place.
Obtenir un audit gratuitSécurité WordPress en 2026 : l’essentiel
Les fondamentaux n’ont pas changé : maintenez vos logiciels à jour, limitez la prolifération des extensions et utilisez des identifiants robustes. Ce qui a changé, c’est qu’ils ne suffisent plus à eux seuls.
Les exploitations surviennent en quelques heures. Les malwares sont conçus pour survivre à un nettoyage standard. Les extensions premium comportent des risques cachés. Et les composants générés par IA ne cessent d’élargir la surface d’attaque.
En 2026, une sécurité efficace repose sur une mitigation automatisée qui s’active dans les premières heures suivant une divulgation, une détection au niveau du serveur capable de repérer les menaces injectées et résidant en mémoire, et une visibilité claire sur chaque composant du site. Traitez la sécurité comme un processus continu, pas comme un nettoyage après coup.
