ALERTE ROUGE SUR WORDPRESS : DEUX FAILLES PERMETTENT DE PIRATER DES MILLIONS DE SITES

ordPress fait face à une vulnérabilité critique. Baptisée « wp2shell », elle touche directement le cœur du CMS open source et permet à un simple visiteur d’exécuter du code malveillant sur un site, sans identifiant ni plugin vulnérable. Des millions de sites WordPress dans le monde se retrouvent dans le viseur des cybercriminels. La faille oblige les administrateurs à mettre à jour leur sites en urgence vers les versions 6.9.5 ou 7.0.2. WordPress est victime d’un incident de sécurité. Une vulnérabilité critique, baptisée « wp2shell », vient d’être débusquée dans le cœur du système open source qui alimente des centaines de millions de sites dans le monde, du petit blog au site d’e?commerce de grande envergure. La faille met en danger tout l’écosystème WordPress. Découverte par l’équipe de recherche de Searchlight Cyber, la faille permet à un pirate d’exécuter du code malveillant sur un site WordPress. Pour exécuter son code, l’attaquant n’a pas besoin d’être connecté au site web. L’attaque peut être lancée par n’importe quel internaute qui visite le site. Le pirate n’a pas besoin de s’authentifier sur le système pour exploiter la faille, il lui suffit d’envoyer une requête taillée sur mesure vers le site WordPress. Pour une fois, la faille ne vient pas d’un plugin vulnérable ajouté par l’administrateur, mais du cœur même de WordPress. C’est pourquoi elle est redoutable. Concrètement, « wp2shell » n’est pas une seule faille isolée, mais une chaîne d’attaque. Cette chaîne est composée de deux vulnérabilités. La première faille est apparue avec la mise à jour WordPress 6.9. Elle permet de détourner la manière dont certaines requêtes sont traitées par le cœur de WordPress. La seconde défaillance permet à un attaquant de faire passer du contenu malveillant dans une requête SQL, c’est?à?dire dans la commande envoyée à la base de données du site pour lire ou modifier des informations. Combinées, ces deux failles permettent à un attaquant non authentifié de passer du statut de simple visiteur à celui de maître du serveur. Il peut alors exécuter du code sur WordPress sans la moindre entrave. Les versions de WordPress vulnérables sont les itérations 6.9.0 à 6.9.4 et les 7.0.0 à 7.0.1. Pour corriger la faille, WordPress a publié en urgence les versions 6.9.5 et 7.0.2, qui neutralisent l’ensemble de la chaîne d’attaque. Au vu de la gravité de la situation, WordPress s’est permis d’activer les mises à jour automatiques forcées pour les sites compatibles. Cette mesure exceptionnelle doit permettre de réduire rapidement le nombre de sites vulnérables afin d’éviter les abus. « Cette mise à jour corrige une faille de sécurité : il est donc essentiel de mettre à jour vos sites sans attendre. Vu la gravité de la faille, l’équipe de WordPress.org a même activé les mises à jour forcées via le système de mise à jour automatique, pour tous les sites tournant sous les versions concernées », peut-on lire sur le site de WordPress. En dépit de la réactivité de WordPress, les pirates ont rapidement trouvé le moyen d’exploiter les failles. Des méthodes d’exploitation complètes et fonctionnelles ont été publiées sur GitHub. Bien vite, de nombreux chercheurs ont constaté des tentatives d’exploitation visant des sites WordPress. Les pirates n’ont pas tardé à passer à l’action. Sans surprise, ils cherchent à profiter de la brèche avant qu’elle ne soit complètement colmatée. Dans ces conditions, Searchlight Cyber a pris le parti de différer la publication complète des détails techniques, afin de laisser du temps aux administrateurs d’installer les correctifs mis en ligne par WordPress. Un site de test public, wp2shell.com, qui permet de vérifier si une instance WordPress est vulnérable, a par ailleurs été mis en ligne. Il suffit d’entrer l’adresse de son site dans la barre de recherche dédiée pour découvrir dans la seconde s’il est vulnérable. En parallèle, Cloudflare a pris des mesures spécifiques pour bloquer les tentatives d’exploitation des deux vulnérabilités sur les sites qu’ils protègent, y compris sur les offres gratuites. Des filtres ont été mis en place pour réduire la surface d’attaque en attendant que tous les sites puissent installer la mise à jour adéquate.  Microsoft va moderniser sa stratégie de gestion des vulnérabilités de Windows grâce à l’intelligence artificielle. La firme de Redmond va s’appuyer sur un agent IA pour identifier et corriger les failles plus rapidement. Le monde de la cybersécurité est devenu une véritable course de vitesse. Microsoft l’a bien compris et vient ainsi d’annoncer un important changement dans sa manière de gérer les vulnérabilités de Windows 11. Puisque les pirates utilisent l’IA pour attaquer plus vite, Microsoft va s’appuyer sur celle-ci pour identifier et corriger plus rapidement les failles de son système d’exploitation. Grâce à l’intelligence artificielle, Microsoft peut désormais découvrir des failles plus rapidement qu’à l’accoutumée, et surtout sur une plus grande quantité de code. La firme de Redmond a ainsi mis en place un système de détection agentique nommé MDASH (pour Multi-model Agentic Scanning Harness) qui s’appuie sur plusieurs modèles d’IA pour identifier de nouveaux schémas de vulnérabilité. Pour s’éviter de faux positifs, Microsoft a mis en place un système de scan et d’analyse dans le Cloud pour valider la découverte de nouvelles failles avant que celles-ci ne soient soumises à vérification aux ingénieurs. En procédant ainsi, l’entreprise peut réduire drastiquement le délai entre la découverte d’une nouvelle faille et la publication d’un correctif pour protéger les utilisateurs d’un éventuel exploit de type zero day. Concrètement, l’IA permet de mâcher le travail aux ingénieurs en comprenant en amont leur fonctionnement et en suggérant des correctifs cohérents avec le code existant. Évidemment, l’automatisation de ce processus pour générer et valider un correctif ne peut pas se faire sans une vérification humaine finale. Mais en utilisant l’IA dans la gestion des failles de sécurité, Microsoft espère contrer spécifiquement les méthodes d’attaque qui l’utilisent également. Avec l’augmentation du volume de failles découvertes grâce à l’IA, Microsoft devrait proposer un plus grand nombre de correctifs à chaque nouvelle mise à jour de sécurité. Pour éviter que cela ne perturbe trop les utilisateurs concernés, Microsoft a mis en place plusieurs outils, notamment le « hotpatching », qui permet aux entreprises d’installer des correctifs de sécurité sans avoir à redémarrer l’ordinateur. Par ailleurs, en cas de problème causé par une mise à jour, Windows pourra rectifier le tir en ne supprimant que la partie qui pose problème. Enfin, Microsoft met en ligne, deux semaines avant le déploiement de ses patchs Tuesday, des versions de test de ses correctifs afin que les professionnels puissent vérifier qu’ils sont parfaitement fonctionnels.