Disponible pour missions & renforts d’agence · Réponse rapide, par la personne qui intervient

WhatsApp contact@allaux.fr
FR EN TR
allaux.
Urgence Parler de mon projet

J’ai reçu un e-mail qui me demande d’installer un correctif de sécurité

Le message a l’apparence d’une alerte officielle, il cite une faille et propose un fichier à installer : c’est exactement le scénario d’une campagne documentée contre les marchands WooCommerce, et le « correctif » est le piratage lui-même.

Décrire mon problème Discuter sur WhatsApp

Ce que dit le message, et pourquoi il est faux

Le scénario est documenté. Le 23 avril 2025, Patchstack a publié l’analyse d’une campagne d’e-mails qui imite une alerte de sécurité officielle WooCommerce. Le message annonce une faille appelée « Unauthenticated Administrative Access », affirme que votre boutique est concernée, et invite à télécharger un correctif à installer soi-même. Cette faille n’existe pas : elle a été inventée pour la campagne. Le fichier proposé est le piratage.

La mise en scène est sobre, et c’est précisément ce qui la rend efficace : ton administratif, nom de faille crédible, urgence mesurée plutôt qu’alarmiste, un seul bouton de téléchargement. On est loin de l’hameçonnage bancaire caricatural, et des marchands expérimentés cliquent. Patchstack rattache d’ailleurs cette campagne au même acteur qu’une campagne de décembre 2023, qui utilisait déjà un identifiant de faille fabriqué de toutes pièces.

Les signes à vérifier en trente secondes

  • Le message annonce une faille et vous demande de télécharger un fichier à installer vous-même.
  • Le nom ou l’identifiant de la faille ne correspond à aucun avis publié dans le canal officiel de l’éditeur.
  • L’adresse du lien ressemble au domaine officiel, mais une lettre y est remplacée par un caractère accentué.
  • Le correctif est présenté comme urgent alors qu’aucune mise à jour ne vous est proposée dans votre tableau de bord.
  • Le fichier obtenu est une archive d’extension à téléverser à la main, pas une mise à jour proposée par le back-office.

Pourquoi l’adresse du faux site paraît correcte

Le lien ne pointe pas vers un domaine visiblement étranger. Il pointe vers un domaine construit par attaque homographe IDN : une lettre du nom légitime est remplacée par un caractère accentué visuellement presque identique. Lu dans une barre d’adresse, à la taille de police d’un navigateur, l’écart ne se voit pas. Je ne reproduis pas ici le domaine utilisé.

La conséquence pratique compte plus que le détail technique : la vérification « je regarde l’adresse et elle a l’air bonne » ne protège pas contre cette campagne. La seule vérification fiable consiste à ne pas suivre le lien du tout, et à ouvrir vous-même votre tableau de bord, ou le site de l’éditeur, depuis un signet que vous avez enregistré à l’avance.

J’ai cliqué sur le lien, mais je n’ai rien installé

Ouvrir la page ne compromet pas la boutique. Le mécanisme décrit par Patchstack repose sur l’installation volontaire d’une extension : tant que le fichier n’a pas été téléversé puis activé dans WordPress, le site n’a pas été touché par ce biais.

Deux réserves, toutes les deux importantes. Si vous avez saisi des identifiants d’administration sur la page qui s’est ouverte, changez-les immédiatement et relisez les connexions récentes au back-office. Si le fichier a été téléchargé sur votre poste, supprimez-le sans l’ouvrir et sans le décompresser. Passez ensuite quand même la vérification décrite ci-dessous : elle prend quelques minutes et elle lève le doute, ce qui vaut mieux que de rester avec une question ouverte.

Les indicateurs publiés, dans l’ordre où je les vérifie

  1. Le dossier d’extension au nom particulier

    Cherchez dans wp-content/plugins/ un dossier nommé authbypass-update. C’est l’indicateur publié par Patchstack pour cette campagne. Sa présence suffit à conclure : le site est compromis, passez directement au traitement d’incident.

  2. Un dossier dans les envois

    Dans wp-content/uploads/, cherchez un dossier dont le nom commence par wp-cached-. Ce dossier n’a rien à faire dans les fichiers envoyés depuis la médiathèque.

  3. Un compte administrateur au nom aléatoire

    L’extension crée un compte administrateur dont le nom est une suite aléatoire de huit caractères, puis masque ce compte de la liste des utilisateurs. La liste affichée dans le tableau de bord n’est donc pas fiable : comparez-la avec le contenu réel de la table des utilisateurs en base.

  4. Une tâche planifiée qui tourne chaque minute

    La campagne programme une tâche WP-Cron au nom aléatoire, exécutée chaque minute. Une planification à la minute est anormale sur une boutique ordinaire, et c’est un des rares éléments visibles avec un outil d’inspection du cron WordPress.

  5. La liste des extensions, à ne pas croire sur parole

    L’extension malveillante se retire elle-même de la liste des extensions. Comparez ce que le back-office affiche avec le contenu réel du dossier wp-content/plugins/ vu en SFTP ou depuis le gestionnaire de fichiers de l’hébergeur.

  6. Ce qui a été déposé ensuite

    La charge télécharge des webshells de familles connues (P.A.S.-Fork, p0wny, WSO) et envoie identifiants et informations du site vers des serveurs distants. Si l’un des indicateurs précédents est présent, considérez que tous les identifiants du site ont fuité et changez-les tous : administrateurs WordPress, FTP/SFTP, base de données, compte d’hébergement.

Le canal légitime, et ses limites

Pour une extension gratuite, une mise à jour arrive dans l’écran des mises à jour de WordPress. Pour une extension payante, elle arrive par le compte client chez l’éditeur, ou automatiquement via la clé de licence enregistrée sur le site. Il n’existe pas de troisième chemin : ni pièce jointe, ni archive envoyée par e-mail, ni lien de téléchargement direct dans un message non sollicité.

Ce canal n’est pas infaillible pour autant, et je préfère le dire plutôt que de vendre une règle plus simple qu’elle ne l’est. En juin 2026, l’infrastructure de compilation et de distribution de l’éditeur ShapedPlugin a été compromise : plusieurs versions Pro ont été distribuées piégées par le canal légitime de l’éditeur, la remédiation ayant commencé le 16 juin 2026 pour une publication le 22 juin 2026. Seules les versions Pro étaient concernées ; les versions gratuites publiées sur le dépôt WordPress.org ne l’étaient pas. La leçon n’est pas de se méfier du canal officiel, c’est que la surveillance des fichiers du site reste utile même quand vous n’avez rien fait d’anormal.

Si l’un des indicateurs est présent

Décrivez votre besoin en 1 minute

Quelques questions ciblées pour que je vous réponde avec une estimation, pas avec un questionnaire de plus.

Qu’avez-vous constaté ?
Depuis quand le problème est-il constaté ?

Plus l’infection est ancienne, plus elle a pu se propager dans les fichiers et la base de données.

Disposez-vous d’une sauvegarde saine ?
Avez-vous encore accès à l’administration WordPress ? (facultatif)
Indiquez au moins un e-mail ou un téléphone pour que je puisse vous répondre.

Indiquez au moins un e-mail ou un téléphone pour que je puisse vous répondre.

Questions fréquentes

L’e-mail cite un nom de faille précis, ça ne prouve pas qu’il est légitime ?
Non. La campagne d’avril 2025 annonçait une faille inventée de toutes pièces, et l’acteur derrière elle avait déjà utilisé un identifiant fabriqué en décembre 2023. Un nom de faille se vérifie dans le canal officiel de l’éditeur, jamais dans le message qui le cite.
J’ai installé le fichier puis je l’ai désinstallé, est-ce suffisant ?
Non. L’extension dépose d’autres fichiers, crée un compte administrateur masqué et une tâche planifiée qui lui survivent. La désinstallation ne retire que la partie visible.
Comment vérifier un message qui semble venir de mon éditeur ou de mon hébergeur ?
Je n’utilise jamais le lien du message. J’ouvre le tableau de bord du site et le site de l’éditeur depuis mes propres signets, et je regarde si l’information y figure. Si elle n’y est pas, le message ne vaut rien.
Mon site fonctionne normalement, est-ce que ça écarte le risque ?
Non. La campagne est conçue pour rester discrète : l’extension se masque de la liste des extensions, le compte administrateur créé est masqué lui aussi, et rien ne change pour les visiteurs. L’absence de symptôme n’est pas une preuve.
Faut-il changer tous les mots de passe si un indicateur est présent ?
Oui. La charge décrite envoie identifiants et informations du site vers des serveurs distants. Je renouvelle les comptes administrateurs WordPress, les accès FTP/SFTP, les identifiants de base de données et le compte d’hébergement, puis je supprime les comptes que je ne peux pas justifier.

Pages liées