WordPress

GBHackers rapporte, sur la base des analyses d’Insikt Group, que le groupe financierement motivé “GrayCharlie” (recoupé avec SmartApeSG) détourne des sites WordPress légitimes afin de diffuser NetSupport RAT, puis Stealc et SectopRAT, au moyen de faux écrans de mise à jour de navigateur et de flux ClickFix. Le groupe opère depuis mi‑2023 et recycle des chaînes d’infection, clés de licence et schémas de certificats TLS récurrents. 🧑‍💻 Vecteur et chaîne d’infection: ...

Selon Sucuri (blog), dans un billet publié le 31 janvier 2026, une nouvelle technique de malware ciblant WordPress crée de faux « répertoires » pour contourner et remplacer les permaliens, afin de diffuser du contenu de spam destiné aux moteurs de recherche. L’article met en avant une technique de malware inédite sur WordPress qui exploite des répertoires factices pour outrepasser les permaliens. L’objectif est la diffusion de spam aux moteurs de recherche, avec un impact direct sur la visibilité et l’intégrité des sites affectés. ...

Source: GreyNoise Intelligence — Analyse de trafic capturé par le Global Observation Grid (GOG) sur ~90 jours (20 oct. 2025 – 19 janv. 2026). L’étude met en évidence une énumération de plugins WordPress via des requêtes ciblant /wp-content/plugins/*/readme.txt, précédemment classées à tort en simple « Web Crawler ». Volume et périmètre: 40 090 événements uniques (combinaisons jour+IP+plugin), ~91K sessions totales; 994 IPs, 145 ASNs, 706 plugins ciblés; 84 JA4T et 131 JA4H; médiane quotidienne 282 enregistrements, pic à 6 550. Activité inégalement répartie entre les plugins, avec une attention soutenue sur certains. ...

Selon Howler Cell Research Team, une enquête a mis au jour une chaîne multi‑infection liée à un botnet, au centre de laquelle un étudiant bangladais vend l’accès à des sites compromis (surtout WordPress et cPanel) à des acheteurs principalement basés en Asie, via Telegram et paiements en cryptomonnaie. Principaux constats 🔎 Webshell PHP ‘Beima’: totalement indétecté par des outils modernes, y compris VirusTotal (depuis mai 2024). Marché: plus de 5 200 sites compromis listés à la vente sur Telegram; .EDU/.GOV ~200 $ contre 3–4 $ pour d’autres sites; 76% des cibles seraient gouvernement/éducation. Origine/acheteurs: vendeur étudiant au Bangladesh; acheteurs surtout Chine, Indonésie, Malaisie; focus pays: Inde, Indonésie (aussi Brésil, Thaïlande, États‑Unis). Accès initial: mauvaise configuration WordPress et cPanel; diffusion via un panneau de botnet. Détails techniques du webshell 🐚 ...

Selon BleepingComputer, des attaquants exploitent activement une vulnérabilité critique d’élévation de privilèges (CVE-2025-8489) dans le plugin King Addons for Elementor pour WordPress. 🚨 Fait principal: la faille permet aux acteurs malveillants d’obtenir des permissions administrateur pendant le processus d’inscription. Produit concerné: plugin WordPress King Addons for Elementor. Vulnérabilité: élévation de privilèges (CVE-2025-8489). Impact: prise de contrôle administratif d’un site via la phase d’enregistrement. IOCs et TTPs: IOCs: non précisés dans l’extrait. TTPs: Exploitation d’une faille d’élévation de privilèges côté plugin WordPress. Abus du flux d’inscription pour s’octroyer des droits administratifs. Il s’agit d’un article de presse spécialisé visant à signaler une exploitation active d’une vulnérabilité WordPress et à informer sur son impact. ...

Source : Wordfence (blog). Contexte : une vulnérabilité critique d’élévation de privilèges dans le plugin WordPress King Addons for Elementor (>10 000 installations actives) est activement exploitée depuis fin octobre 2025. Le correctif est disponible depuis le 25 septembre 2025 (version 51.1.35). 🚨 Vulnérabilité et impact La fonction d’inscription AJAX handle_register_ajax() accepte un paramètre user_role non restreint, permettant à un attaquant non authentifié de se créer un compte avec le rôle administrator. Impact : compromission complète du site (installation de plugins/thèmes malveillants, backdoors, modification de contenus, redirections, injection de spam). 🗓️ Chronologie et statistiques ...

Selon BleepingComputer, des acteurs malveillants exploitent activement une vulnérabilité critique (CVE-2025-11833, score 9,8) dans le plugin WordPress Post SMTP (installé sur 400 000+ sites), permettant la lecture non authentifiée des journaux d’e-mails et la prise de contrôle de comptes administrateurs. — Détails techniques et impact — La faille provient de l’absence de contrôles d’autorisation dans le constructeur ‘_construct’ de la classe PostmanEmailLogs, qui rend directement le contenu des e-mails journalisés sans vérification de capacités. Les journaux exposent notamment des messages de réinitialisation de mot de passe contenant des liens permettant de modifier le mot de passe d’un administrateur, conduisant à une compromission complète du site. 🚨 — Chronologie — ...

BleepingComputer rapporte que des pirates exploitent activement une vulnérabilité critique dans le thème WordPress premium JobMonster (NooThemes), observée par Wordfence qui a bloqué de multiples tentatives au cours des dernières 24 heures. ⚠️ Vulnérabilité: CVE-2025-5397 (score de sévérité 9,8) est un contournement d’authentification affectant toutes les versions jusqu’à 4.8.1. Le problème provient de la fonction check_login() qui ne vérifie pas correctement l’identité de l’utilisateur avant l’authentification. Le correctif est disponible en version 4.8.2. ...

Selon BleepingComputer, le plugin WordPress « Anti-Malware Security and Brute-Force Firewall », installé sur plus de 100 000 sites, présente une vulnérabilité permettant à des utilisateurs au rôle d’« abonné » de lire n’importe quel fichier sur le serveur, exposant ainsi des informations privées. Le problème touche un plugin de sécurité très répandu et ouvre la voie à une lecture de fichiers arbitraire par des comptes disposant de privilèges faibles (simples abonnés). L’impact direct est une exposition de données sensibles stockées côté serveur. ...

Source: Wordfence (blog). Wordfence décrit une vulnérabilité de lecture arbitraire de fichiers dans le plugin WordPress Anti‑Malware Security and Brute‑Force Firewall (100 000+ installations), exploitable par des comptes authentifiés au niveau abonné et corrigée en version 4.23.83. Type: Arbitrary File Read / LFI via une action AJAX sans contrôle de capacité. Impact: lecture de fichiers sensibles du serveur, dont wp-config.php (identifiants DB, clés/salts). Portée: versions 4.23.81 et antérieures. Correctif publié le 15 oct. 2025. Découverte: Dmitrii Ignatyev, via le Wordfence Bug Bounty Program (bounty: 960 $). 🔍 Détails techniques ...