Faille critique de WordPress « wp2shell » permet l'injection de code via l'API

Comme le rapporte heise online (https://www.heise.de/news/wp2shell-Kritische-WordPress-Luecke-erlaubt-Codeeinschleusung-ueber-API-11369660.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag), une faille de sécurité critique a été découverte dans WordPress, permettant aux attaquants d'injecter du code malveillant. La vulnérabilité nommée « wp2shell » résulte de la combinaison d'une injection SQL avec une faille de sécurité dans l'API.

Détails sur la faille de sécurité

Cette faille permet aux attaquants d'injecter et d'exécuter du code malveillant via l'API de WordPress. Elle exploite d'abord une injection SQL pour obtenir un accès non autorisé. Ensuite, l'exécution de code peut être réalisée via l'API, donnant aux attaquants le contrôle total du site web affecté. Ce type d'attaque est particulièrement dangereux, car WordPress, en tant que système de gestion de contenu (CMS) le plus utilisé au monde, offre une large surface d'attaque. Des millions de sites pourraient potentiellement être concernés s'ils ne sont pas mis à jour rapidement.

Réaction de WordPress et des experts en sécurité

WordPress a immédiatement publié une mise à jour de sécurité qui corrige la faille. Les administrateurs de sites sont fortement invités à mettre à jour leurs systèmes sans délai afin de prévenir toute attaque. Les découvreurs de la vulnérabilité ont également fourni un correctif temporaire (hotfix) qui peut être utilisé en attendant une mise à jour immédiate.

Pourquoi c'est important

La combinaison d'une injection SQL et d'une faille API illustre la complexité et la multidimensionnalité des failles de sécurité modernes. Pour les exploitants de sites WordPress, cela signifie que des mises à jour régulières et des audits de sécurité sont indispensables pour garantir l'intégrité de leurs sites. De plus, le cas « wp2shell » souligne l'importance de sécuriser particulièrement les API et les accès aux bases de données, car les attaquants combinent souvent plusieurs vulnérabilités pour causer des dommages plus importants.

Recommandations pour les administrateurs de sites

• Mettez à jour WordPress et tous les plugins immédiatement vers les dernières versions.
• Vérifiez votre site pour détecter toute activité inhabituelle ou signe d'attaque.
• Utilisez des plugins de sécurité et des pare-feux spécialement conçus pour la protection des API et la prévention des injections SQL.
• Effectuez des sauvegardes régulières afin de pouvoir restaurer rapidement en cas d'incident.

Perspectives

La découverte de « wp2shell » souligne le défi permanent que représente la sécurisation des applications web. Alors que WordPress travaille continuellement à l'amélioration de son architecture de sécurité, la responsabilité de protéger son propre site incombe à l'exploitant. Les chercheurs en sécurité et les développeurs recommandent de suivre attentivement les évolutions concernant les failles de sécurité WordPress et de réagir rapidement aux nouvelles mises à jour afin de minimiser les risques d'attaques.