WordPress

🗓️ Contexte Source : BleepingComputer — publié le 15 avril 2026. L’article rapporte une attaque de type supply chain ciblant la suite de plugins WordPress EssentialPlugin, anciennement connue sous le nom WP Online Support (fondée en 2015, rebaptisée en 2021). 🔍 Déroulement de l’incident Après le rachat du projet EssentialPlugin pour un montant à six chiffres par un nouveau propriétaire, un backdoor a été introduit dans l’ensemble des plugins de la suite dès août 2025. Ce code malveillant est resté inactif pendant plusieurs mois avant d’être activé récemment via des mises à jour poussées aux utilisateurs. ...

🗓️ Contexte Source : The Cyber Express, publié le 14 avril 2026. L’article couvre la divulgation et l’exploitation active d’une vulnérabilité critique de type Remote Code Execution (RCE) affectant le plugin WordPress Kali Forms (constructeur de formulaires drag-and-drop), installé sur plus de 10 000 sites actifs. 🔍 Nature de la vulnérabilité La faille réside dans le flux form_process et la fonction prepare_post_data(), qui accepte des données contrôlées par l’attaquant sans validation ni liste blanche. Ces données sont injectées dans des placeholders internes ({entryCounter}, {thisPermalink}), puis transmises à la méthode _save_data() où elles sont exécutées via call_user_func(). ...

🔍 Contexte Article publié le 9 avril 2026 par Austin Ginder sur anchor.host. Il s’agit d’un post-mortem technique détaillé d’une attaque de chaîne d’approvisionnement ciblant l’écosystème WordPress, découverte suite à une alerte client sur un plugin nommé Countdown Timer Ultimate. 🎯 Nature de l’attaque Un acheteur identifié uniquement comme « Kris », avec un profil en SEO, crypto et marketing de jeux d’argent en ligne, a acquis début 2025 via la marketplace Flippa le portefeuille de 31 plugins WordPress de la société « Essential Plugin » (anciennement WP Online Support) pour un montant à six chiffres. Dès son premier commit SVN le 8 août 2025, il a introduit un backdoor PHP par désérialisation dans le fichier class-anylc-admin.php du plugin Countdown Timer Ultimate (version 2.6.7), en mentant dans le changelog (« Check compatibility with WordPress version 6.8.2 »). ...

🏥 Contexte Publié le 8 avril 2026 par The Register, cet article rapporte la découverte par le chercheur Nick Hatter de plusieurs sous-domaines du namespace scot.nhs.uk compromis et utilisés pour héberger des liens vers du contenu adulte et des streams sportifs illégaux. 🔍 Domaines concernés Domaine compromis (The New Surgery, Kilmacolm) : thenewsurgery-kilmacolm-langbank.scot.nhs.uk — ancien domaine du cabinet, non utilisé depuis au moins 2019 Domaine compromis (Lerwick GP Practice, Shetland) : domaine actuellement en usage par le cabinet, servant des liens illicites Des liens malveillants ont été indexés par Google, certains créés dès janvier 2026 ⚙️ Vecteur d’attaque suspecté Les requêtes dig montrent que les domaines NHS pointent correctement vers WP Engine, suggérant que la compromission est intervenue côté WordPress (CMS). Les hypothèses avancées incluent : ...

🔍 Contexte Publié le 3 avril 2026 par Ctrl-Alt-Intel, cet article constitue la partie 2 d’une analyse d’incident portant sur l’attaque supply chain ciblant BuddyBoss, éditeur de plugins et thèmes WordPress. L’ensemble des preuves provient du serveur C2 de l’attaquant laissé en open directory, contenant logs d’exfiltration, payloads décodés, transcripts Claude Code, templates de backdoors PHP et données de 246+ sites victimes. ⏱️ Kill-chain (17 mars 2026, UTC) L’attaque complète s’est déroulée en 2h54 entre la première exfiltration CI/CD et le premier callback victime : ...

🔍 Contexte Publié le 3 avril 2026 par Ctrl-Alt-Intel (ctrlaltintel.com), cet article de recherche détaille une attaque supply-chain contre l’écosystème WordPress BuddyBoss / Caseproof, découverte indépendamment le 18 mars 2026 par le chercheur @ice_wzl_cyber. L’attaque avait été signalée publiquement pour la première fois par Cybernews le 24 mars 2026. 🎯 Vecteur d’attaque et déroulement L’acteur malveillant, identifié comme francophone, a utilisé Claude Code (Anthropic) comme outil d’assistance tout au long de la chaîne d’attaque : ...

🔍 Contexte Publié le 29 mars 2026 par BleepingComputer, cet article rapporte la découverte et la correction d’une vulnérabilité de lecture de fichiers arbitraires dans le plugin WordPress Smart Slider 3, installé sur plus de 800 000 sites web. 🐛 Vulnérabilité CVE : CVE-2026-3098 Sévérité : Moyenne (authentification requise) Versions affectées : toutes les versions jusqu’à 3.5.1.33 incluse Version corrigée : 3.5.1.34 (publiée le 24 mars 2026) Découvreur : Dmitrii Ignatyev, signalement à Wordfence le 23 février 2026 ⚙️ Mécanisme technique La faille réside dans l’absence de vérification de capacités sur les actions AJAX d’export du plugin. La fonction actionExportAll ne valide ni le type de fichier ni la source, permettant d’inclure n’importe quel fichier serveur dans l’archive d’export. ...

Selon BleepingComputer, une vulnérabilité d’injection SQL affecte Ally, un plugin WordPress d’Elementor dédié à l’accessibilité et l’ergonomie web, comptant plus de 400 000 installations. Cette faille pourrait être exploitée sans authentification pour dérober des données sensibles. ⚠️ P## Vulnérabilité SQL injection dans le plugin WordPress Ally (Elementor) Résumé Une vulnérabilité SQL injection critique affecte le plugin Ally, un module WordPress développé par Elementor pour améliorer l’accessibilité des sites web. CVE : CVE-2026-2413 Gravité : élevée Installations : plus de 400 000 sites WordPress Sites encore vulnérables : plus de 250 000 La faille permet à un attaquant non authentifié d’exécuter des requêtes SQL malveillantes et d’extraire des données sensibles de la base de données. ...

GBHackers rapporte, sur la base des analyses d’Insikt Group, que le groupe financierement motivé “GrayCharlie” (recoupé avec SmartApeSG) détourne des sites WordPress légitimes afin de diffuser NetSupport RAT, puis Stealc et SectopRAT, au moyen de faux écrans de mise à jour de navigateur et de flux ClickFix. Le groupe opère depuis mi‑2023 et recycle des chaînes d’infection, clés de licence et schémas de certificats TLS récurrents. 🧑‍💻 Vecteur et chaîne d’infection: ...

Selon Sucuri (blog), dans un billet publié le 31 janvier 2026, une nouvelle technique de malware ciblant WordPress crée de faux « répertoires » pour contourner et remplacer les permaliens, afin de diffuser du contenu de spam destiné aux moteurs de recherche. L’article met en avant une technique de malware inédite sur WordPress qui exploite des répertoires factices pour outrepasser les permaliens. L’objectif est la diffusion de spam aux moteurs de recherche, avec un impact direct sur la visibilité et l’intégrité des sites affectés. ...