WordPress 7.1.4 corrige une faille de son mécanisme de mise à jour déjà visée par des attaques, 22 vulnérabilités au total

Le 28 octobre, l’équipe WordPress a publié la version 7.1.4, une mise à jour de sécurité qui corrige 22 vulnérabilités dans le logiciel qui fait tourner une grande partie des sites web d’entreprise. La plus sérieuse touche le mécanisme de mise à jour lui-même : pendant quelques secondes, lors d’une mise à jour complète du cœur de WordPress, les fichiers d’installation sont déposés dans un dossier prévisible et accessible depuis Internet, ce qui permet à un attaquant sans aucun compte d’exécuter du code sur le serveur (une « exécution de code à distance »). L’éditeur de sécurité Wordfence indique avoir vu les premières tentatives neuf minutes après le déploiement de sa règle de protection, puis plus de 18 500 requêtes visant ce dossier en 21 heures, sans compromission confirmée à ce stade. Les versions 4.7 à 7.1.3 sont concernées ; des correctifs ont été reportés sur toutes les anciennes branches jusqu’à la 4.7, mais les sites en 4.6 ou antérieur ne reçoivent plus rien. Ce que cela change pour vous : demandez dès lundi à votre agence web ou à votre hébergeur de confirmer que votre site est en 7.1.4 (ou sur la version corrigée de sa branche) et que les mises à jour automatiques de sécurité sont actives, puis faites vérifier les journaux du serveur et la liste des comptes administrateurs pour écarter une intrusion récente.