WordPress alimente près de la moitié du web, ce qui en fait la plateforme la plus ciblée sur Internet. En 2025, le paysage des menaces a évolué de manière à rendre la plupart des stratégies de sécurité conventionnelles insuffisantes. Le nombre de vulnérabilités a fortement augmenté, les délais d’exploitation se sont effondrés en heures, et les attaquants ont déployé des malwares de plus en plus sophistiqués conçus pour survivre aux tentatives de nettoyage.
Cette vue d’ensemble s’appuie sur des données de sécurité de 2025 pour aider les propriétaires de sites WordPress et WooCommerce à comprendre les risques réels auxquels leurs sites sont exposés et les mesures concrètes qu’ils peuvent prendre pour combler ces lacunes.
Des chercheurs en sécurité ont identifié 11 334 nouvelles vulnérabilités dans l’écosystème WordPress en 2025, soit une augmentation de 42 % par rapport à l’année précédente. Parmi celles-ci, 4 124 étaient suffisamment graves pour nécessiter une atténuation active, et 1 966 présentaient une forte sévérité, indiquant une forte probabilité d’exploitation automatisée à grande échelle.
Pour mettre cela en perspective, plus de vulnérabilités de haute gravité ont été découvertes dans WordPress en 2025 que lors des deux années précédentes réunies. Ce n’est pas une tendance progressive. Cela représente une accélération significative de l’attention des attaquants sur l’écosystème WordPress.
Les plugins ont représenté 91 % de toutes les vulnérabilités nouvellement signalées. Les thèmes constituaient les 9 % restants. WordPress Core lui-même n’a signalé que six problèmes, tous de faible priorité.
Cette distribution renforce une réalité simple : le logiciel de base n’est pas le problème. Le risque réside dans les composants tiers superposés, et la plupart des sites WordPress en font tourner des dizaines.
Non. Les composants premium présentent souvent un angle mort plus dangereux que leurs homologues gratuits.
Les chercheurs en sécurité ont mené une analyse ciblée des composants premium du marché, y compris ceux distribués via Envato. Les résultats étaient significatifs :
La raison n’est pas que les plugins premium soient construits de façon plus négligente. C’est parce que les chercheurs en sécurité ont un accès limité aux logiciels payants, ce qui fait que moins d’yeux examinent le code. Un contrôle moindre ne signifie pas un risque moindre. Cela signifie une moindre conscience des risques existants.
Seulement 54 %. En 2025, 46 % des vulnérabilités signalées n’avaient pas été corrigées par le développeur du plugin avant leur divulgation publique. Cela signifie que les détails des vulnérabilités sont devenus publics et, dans de nombreux cas, étaient immédiatement accessibles aux attaquants avant que les correctifs ne soient accessibles aux propriétaires du site.
S’appuyer sur les mises à jour des plugins comme mesure de sécurité principale est généralement insuffisant, car près de la moitié des vulnérabilités divulguées n’ont pas de correctif disponible.
Plus rapide que ce que permettent la plupart des calendriers de mise à jour. Pour les vulnérabilités les plus ciblées, le temps médian pondéré entre la divulgation publique et l’exploitation active était de cinq heures.
Environ la moitié de toutes les vulnérabilités à fort impact étaient exploitées dans les 24 heures suivant la divulgation. Cette fenêtre couvre une période où la plupart des administrateurs de site ignorent le problème ou n’ont pas encore eu l’occasion d’appliquer un correctif disponible.
Les 24 premières heures suivant une divulgation de vulnérabilité représentent généralement la fenêtre à risque le plus élevé pour un site WordPress. Sans mesures d’atténuation automatisées, la plupart des sites sont exposés précisément durant cette période.
Un contrôle d’accès défaillant a dominé la liste des catégories de vulnérabilités exploitées en 2025. Cette catégorie est particulièrement difficile à défendre car les attaques imitent le comportement normal des utilisateurs authentifiés. Il n’y a pas de chaînes d’injection évidentes ni de requêtes mal formées qu’un pare-feu d’application web traditionnel peut détecter.
D’autres classes de vulnérabilité fortement exploitées comprenaient :
Les plugins liés à WooCommerce figuraient dans le top dix des listes les plus ciblées, y compris une vulnérabilité d’escalade de privilèges WooCommerce Payments de 2023 qui était encore activement ciblée contre les installations non corrigées.
Pas assez efficace. Des tests d’intrusion menés auprès de plusieurs fournisseurs d’hébergement en 2025 ont révélé que les configurations défensives standard, y compris les WAF internes et Cloudflare, ne bloquaient que 26 % des tentatives d’exploitation de vulnérabilités WordPress. Plus précisément, contre les vulnérabilités exploitées connues, le taux de blocage est tombé à 12 %.
Les performances variaient considérablement selon les environnements hôtes, principalement en raison de la configuration des règles internes WAF. Les règles WAF génériques fonctionnent assez bien contre les attaques non spécifiques à WordPress, mais sont mal adaptées aux classes de vulnérabilités spécifiques à WordPress, qui expliquent la plupart des activités d’exploitation réelles.
Le comportement post-compromis en 2025 est devenu plus sophistiqué et plus difficile à remédier. L’analyse de milliards d’infections par logiciels malveillants à travers l’infrastructure d’hébergement mondiale a révélé des changements clairs dans la manière dont les attaquants opérent une fois qu’ils accèdent à un site.
Les attaquants privilégient de plus en plus les fichiers injectés aux fichiers malveillants autonomes. Un fichier injecté est un fichier de cœur WordPress légitime, un fichier plugin ou un fichier thème qui a été modifié pour contenir du code malveillant. Parce que le fichier de base est légitime, les outils de numérisation basés sur la suppression le signalent de manière incohérente ou le manquent complètement.
Supprimer les logiciels malveillants injectés nécessite d’identifier et de nettoyer chirurgicalement le fragment malveillant d’un fichier autrement valide. Supprimer le fichier lui-même casse le site. Cette distinction impose un changement significatif dans la manière dont les outils de réhabilitation doivent fonctionner.
Oui. L’activité malveillante de téléchargement de fichiers a presque triplé en novembre et décembre 2025. Cette hausse n’est pas un hasard. Q4 combine le trafic consommateur de pointe avec une réduction du personnel informatique, créant un environnement où les attaquants peuvent opérer avec moins de chances d’être détectés ou réagissels immédiatement. Les propriétaires de magasins WooCommerce qui organisent des promotions de fêtes actives opèrent dans la fenêtre la plus risquée de l’année, souvent avec le moins de ressources internes disponibles pour répondre.
Les campagnes de malware les plus répandues partageaient un objectif commun de conception : éviter la détection aussi longtemps que possible. Trois schémas d’esquive étaient particulièrement répandus.
Diffusion sélective du contenu
Les campagnes, y compris le spam SEO japonais, jgalls et Parrot TDS, proposent différents contenus selon la personne qui fait la demande. Les robots de recherche reçoivent du spam rempli de mots-clés pour manipuler les classements. Les visiteurs humains sont redirigés vers des pages de phishing ou des vitrines frauduleuses. Les propriétaires de sites et les scanners voient généralement du contenu propre. L’infection reste invisible jusqu’à ce que les clients commencent à se plaindre ou que le trafic de recherche organique s’effondre.
Parrot TDS a étendu cette technique en 2025 en détectant des robots d’entraînement par IA, y compris ceux d’OpenAI et Google. Du contenu propre est servi aux robots d’exploration tandis que les redirections malveillantes continuent de rediriger les visiteurs humains, rendant la détection par audit automatisé encore moins fiable.
Persistance mémoire-résident
La famille de malwares Lock360 exécute du code malveillant directement dans la mémoire serveur plutôt que de le stocker dans des fichiers. Lorsqu’un administrateur nettoie un fichier infecté, tel que index.php ou .htaccess, le processus résident en mémoire réécrit immédiatement le code malveillant dans celui-ci. Les équipes de support se retrouvent souvent dans un cycle continu de nettoyage et de réinfection jusqu’à ce que le processus mémoire sous-jacent soit terminé, ce que la plupart des outils de balayage standards ne sont pas capables de gérer.
Expansion de l’infrastructure Uploader
L’activité des scripts des uploaders a presque doublé en volume en juin 2025 et est restée élevée jusqu’à la fin de l’année. Les uploaders sont des outils qui permettent aux attaquants de déployer des charges utiles supplémentaires sur un site compromis à volonté. Cette augmentation soutenue signale un virage stratégique vers un accès persistant plutôt que vers une exploitation ponctuelle. Un site nettoyé d’une infection peut être réinfecté via un uploader dormant qui a survécu au nettoyage.
Plusieurs tendances convergent pour faire Sécurité WordPress plus complexe, pas moins.
Le développement assisté par l’IA accélère la production de plugins personnalisés. Les agences génèrent des fonctionnalités de plugins à la demande et déploient des front-ends générés par l’IA construits avec React tout en utilisant WordPress comme CMS backend. Cela étend la surface d’attaque bien au-delà du champ traditionnel des noyaux, plugins et thèmes. Les composants codés sur mesure, les packages JavaScript et les dépendances à PHP introduisent tous une exposition à la sécurité que les outils de numérisation standards de WordPress ne sont pas conçus pour évaluer.
Parallèlement, l’IA abaisse la barrière permettant aux attaquants de découvrir et d’exploiter autonomement les vulnérabilités. Les mêmes outils utilisés pour construire des sites plus rapidement sont également utilisés pour trouver et exploiter leurs faiblesses.
Sur le plan réglementaire, la loi européenne sur la cyberrésilience pousse les fournisseurs commerciaux de plugins WordPress à instaurer des programmes formels de divulgation des vulnérabilités comme obligation légale pour distribuer des logiciels aux utilisateurs européens. La plupart des développeurs de plugins ne disposent actuellement pas des ressources internes pour gérer un volume élevé de rapports de sécurité entrants. Cet écart créera des frictions entre l’identification des vulnérabilités et la disponibilité des correctifs, une période qui comporte déjà un risque important selon les données d’exploitation de 2025.
Les données de 2025 clarifient plusieurs choses à toute personne tenant une boutique WooCommerce.
Les fondamentaux de la sécurité WordPress n’ont pas changé : maintenir les logiciels à jour, limiter la prolifération des plugins et utiliser des références fortes. Ce qui a changé, c’est que ces mesures ne suffisent plus à elles seules.
Les délais d’exploitation se sont réduits à des heures. Les malwares sont conçus pour survivre au nettoyage standard. Les plugins premium comportent un risque caché. Et la surface d’attaque d’un site WordPress typique s’élargit à mesure que des composants générés par l’IA entrent dans la pile.
Une sécurité efficace de WordPress en 2026 nécessite une atténuation automatisée des vulnérabilités qui s’active dans les premières heures suivant la divulgation, une détection de malwares au niveau serveur capable d’identifier le code injecté et les menaces résidentes en mémoire, ainsi qu’une visibilité claire de chaque composant exécutant sur le site, qu’il soit installé via le panneau d’administration ou généré par un développement personnalisé.
Les sites qui considèrent la sécurité comme un processus proactif et continu seront nettement mieux placés que ceux qui dépendent de nettoyages périodiques après un problème.
