WordPress : un acheteur anonyme piège 31 plugins et compromet des dizaines de milliers de sites

Le fichier s’appelle wp-comments-posts.php ^[1]. Un nom banal, presque ennuyeux. Le genre de fichier qu’on ne regarde jamais. C’est exactement l’idée.

LES ENJEUX

Supply chain: le rachat de logiciels comme arme

Un acheteur anonyme a acquis plus de 30 plugins WordPress pour un montant à six chiffres sur Flippa, puis y a injecté 191 lignes de code malveillant. Le marché de revente de logiciels n'impose aucune vérification des intentions.

Blockchain détournée: EtherHiding rend le blocage quasi impossible

Les attaquants utilisent un smart contract Ethereum pour router leur serveur de commande. Coût de mise à jour: entre 0,25 et 1,50 dollar. Les procédures classiques de takedown de domaine sont inopérantes. Aucun démantèlement public d'infrastructure EtherHiding n'a été rapporté depuis 2023.

Un correctif incomplet: le code malveillant reste en place

La mise à jour forcée en version 2.6.9.1 n'a désactivé que le mécanisme de communication à distance. Le code PHP injecté dans wp-config.php reste actif sur plus de 20 000 sites compromis.

WordPress: 7 966 vulnérabilités en 2024

96 % des failles viennent des plugins. 7 966 nouvelles vulnérabilités découvertes en 2024, en hausse de 34 %. 43 % exploitables sans authentification. WordPress propulse 43 % du web mondial.

Régulation européenne: le Cyber Resilience Act face au vide

Le CRA, entré en vigueur le 10 décembre, impose aux développeurs open source de notifier les vulnérabilités d'ici septembre 2026. Mais rien ne couvre le cas d'un plugin racheté anonymement sur une marketplace, ni les backdoors volontairement introduites.

Quand Austin Ginder ^[2], fondateur de l’hébergeur WordPress Anchor Hosting ^[3], tombe dessus début avril 2026 ^[4], il comprend en quelques minutes. Ce faux fichier télécharge du code PHP et l’injecte dans wp-config.php ^[5] - le fichier le plus sensible de toute installation WordPress. Liens spam, redirections, fausses pages. Le tout invisible pour les humains, visible uniquement pour Googlebot ^[6]. Sophistiqué. Méthodique. Et dormant depuis environ huit mois ^[7].

L’anatomie d’une attaque par la chaîne d’approvisionnement

L’histoire commence fin 2024 ^[8]. Les revenus d’Essential Plugin ^[9] - une suite de plus de 30 plugins WordPress ^[10] totalisant plus de 400 000 installations actives ^[11] - ont chuté de 35 à 45 % ^[12]. L’un des trois co-fondateurs, Minesh Shah ^[13], aux côtés d’Anoop Ranawat et Pratik Jain, met l’ensemble en vente sur Flippa ^[14], la place de marché spécialisée dans la cession d’actifs numériques.

L’acheteur se présente sous le pseudonyme « Kris » ^[15]. Profil déclaré: SEO, cryptomonnaie, marketing de jeux d’argent en ligne ^[16]. Il débourse un montant à six chiffres ^[17] début 2025 ^[18]. Flippa ^[19] est si satisfait de la transaction qu’il en fait une étude de cas publicitaire en juillet 2025 ^[20].

Trois mois plus tôt, le 12 mai 2025 ^[21], un nouveau compte WordPress.org nommé « essentialplugin » a été créé. Le WHOIS du domaine essentialplugin.com ^[22] est mis à jour au nom d’une certaine Kim Schmidt ^[23], à Zurich. Personne ne s’en inquiète.

Précisons-le d’emblée: « Kris » et « Kim Schmidt » sont très vraisemblablement des identités écrans. Aucune source consultée ne fait état d’une enquête judiciaire ayant permis d’identifier la personne physique ou morale derrière ces pseudonymes. Au moment de la publication de cet article, ni Flippa ni Minesh Shah n’ont publiquement réagi à la compromission. Aucune source consultée ne mentionne de déclaration de leur part, ni de coopération de Flippa avec d’éventuels enquêteurs pour identifier l’acheteur réel.

Du code dormant pendant environ huit mois

Le 8 août 2025 ^[24], la version 2.6.7 ^[25] de Countdown Timer Ultimate ^[26] est publiée. Dans le commit: du code PHP malveillant supplémentaire ^[27], glissé dans le fichier class-anylc-admin.php ^[28], camouflé sous une note de changelog anodine. Une porte dérobée de désérialisation PHP. Le module légitime wpos-analytics ^[29] est détourné en vulnérabilité.

Le code ne fait rien. Pendant environ huit mois ^[30], il dort. Aucun appel réseau, aucun comportement suspect. Les scanners de sécurité ne voient rien. Les administrateurs de sites non plus.

Le 5 avril 2026 ^[31], le domaine de commande et contrôle analytics.essentialplugin.com ^[22] s’active et commence à distribuer des charges malveillantes - c’est la première étape de l’attaque. Le lendemain, 6 avril ^[32], la fenêtre d’injection effective dans wp-config.php s’ouvre ^[33]. Deux étapes distinctes du même processus: activation du serveur de commande, puis injection du code dans les fichiers cibles.

La blockchain comme bouclier

Ce qui distingue cette attaque: les attaquants utilisent la blockchain Ethereum ^[34] pour dissimuler l’adresse de leur serveur de commande dans un contrat intelligent. La technique s’appelle EtherHiding ^[35], documentée pour la première fois par Guardio Labs ^[36] en octobre 2023 ^[37].

Le principe est redoutable. Le malware interroge un smart contract Ethereum ^[38] pour obtenir l’adresse du serveur cible. Si le domaine est bloqué, l’attaquant met à jour le contrat - pour un coût de 0,25 à 1,50 dollar en frais réseau ^[39] - et pointe vers un nouveau domaine. Comme l’a résumé Austin Ginder ^[40]: « Traditional domain takedowns would not work because the attacker could update the smart contract to point to a new domain at any time » ^[41].

Un groupe identifié sous le nom UNC5142 ^[42] utilisait déjà cette technique pour distribuer des stealers comme Atomic, Lumma et Vidar ^[43], selon le Google Threat Intelligence Group ^[44]. En juin 2025 ^[45], Google avait signalé environ 14 000 pages web ^[46] contenant du JavaScript injecté lié à ce type d’attaque. Fait notable: depuis la première documentation d’EtherHiding en octobre 2023, aucun démantèlement public d’infrastructure utilisant cette technique n’a été rapporté dans les sources disponibles - ce qui confirme la quasi-impossibilité de neutraliser ces serveurs de commande par les procédures classiques de takedown.

Un correctif qui ne corrige pas tout

Le 7 avril 2026 ^[47], WordPress.org ferme définitivement 31 plugins ^[48] du portefeuille Essential Plugin ^[9]. Le lendemain, le 8 avril 2026 ^[49], une mise à jour forcée en version 2.6.9.1 ^[50] est poussée automatiquement sur les sites affectés.

Le problème: cette mise à jour n’a désactivé que le mécanisme de communication à distance ^[51]. Le code PHP injecté dans wp-config.php? Toujours là. « The fix only stopped the backdoor from calling home. All that injected PHP code sitting in wp-config.php? Still there » ^[52]. Si le fichier pèse environ 6 Ko de plus que prévu ^[53], le site nécessite un nettoyage complet.

Plus de 20 000 installations WordPress actives ^[54] sont directement compromises selon les estimations les plus conservatives. Le risque potentiel s’étend à des centaines de milliers de sites ^[55].

Le marché de revente de logiciels, angle mort de la cybersécurité

Flippa ^[56] a fait la promotion de cette vente. Publié une étude de cas en juillet 2025 ^[57]. Célébré le deal. Aucune vérification des intentions de l’acheteur. Aucun audit du code après transfert. Aucun mécanisme d’alerte.

Ce n’est pas la première fois. En 2017 ^[58], un acteur utilisant l’alias « Daley Tias » ^[59] avait racheté le plugin Display Widgets ^[60] et y avait immédiatement injecté du spam de prêts sur salaire, affectant 200 000 sites ^[61]. Neuf ans plus tard, le scénario se répète - en plus sophistiqué, en plus patient, en plus difficile à contrer.

Austin Ginder ^[62] le souligne: c’est « the second hijack of a WordPress plugin discovered in as many weeks » ^[63]. Deux détournements en deux semaines ^[64].

Ce que dit le droit pénal

L’injection d’une porte dérobée dans des dizaines de milliers de sites web n’est pas un simple incident technique. C’est un délit pénal caractérisé dans la plupart des juridictions. En droit français, les articles 323-1 à 323-7 du Code pénal répriment les atteintes aux systèmes de traitement automatisé de données (STAD). L’article 323-1 punit l’accès frauduleux à un STAD de deux ans d’emprisonnement et 60 000 euros d’amende. Lorsque cet accès entraîne la suppression ou la modification de données - ce qui est le cas ici avec l’injection de code dans wp-config.php -, la peine est portée à trois ans d’emprisonnement et 100 000 euros d’amende, selon les dispositions en vigueur du Code pénal. L’article 323-3, qui vise l’introduction frauduleuse de données dans un système, prévoit jusqu’à cinq ans d’emprisonnement et 150 000 euros d’amende.

Aux États-Unis, le Computer Fraud and Abuse Act (18 U.S.C. § 1030) couvre des faits similaires et prévoit des peines pouvant aller jusqu’à dix ans de prison pour un premier délit d’accès non autorisé à un système informatique protégé. Encore faut-il identifier l’auteur. Or « Kris » ^[65], l’acheteur du portefeuille de plugins sur Flippa, reste un pseudonyme, « Kim Schmidt » ^[23] un nom WHOIS probablement fictif, et aucune source consultée ne fait état de poursuites judiciaires engagées à ce stade.

L’angle mort: WordPress, 43 % du web, zéro contrôle sur les transferts

WordPress propulse environ 43 % de tous les sites web ^[66]. Son compte plus de 60 000 plugins ^[67]. Selon plusieurs rapports de sécurité, 7 966 nouvelles vulnérabilités ^[68] ont été découvertes dans cet en 2024 - soit 22 par jour ^[69], en hausse de 34 % par rapport à 2023 ^[70]. 96 % de ces failles viennent des plugins ^[71]. Seulement 7 vulnérabilités ^[72] concernaient le cœur de WordPress lui-même.

Le paradoxe que personne ne relève: WordPress.org peut forcer une mise à jour sur des millions de sites en quelques heures. Mais il n’a aucun mécanisme pour vérifier qui rachète un plugin, ni pour auditer le code après un changement de propriétaire. Le système de confiance repose entièrement sur l’historique du plugin - exactement ce que « Kris » ^[73] a exploité. Huit ans de confiance bâtis par Minesh Shah, Anoop Ranawat et Pratik Jain ^[13] et leur équipe depuis 2015 ^[74], transférés en un clic sur Flippa ^[19], puis retournés contre les utilisateurs. La confiance était le produit. Pas le code.

Plus inquiétant encore: 43 % des vulnérabilités WordPress découvertes en 2024 ^[75] ne nécessitaient aucune authentification pour être exploitées. Et plus de la moitié des développeurs de plugins n’avaient pas corrigé les failles signalées avant leur divulgation officielle ^[76].

Le Cyber Resilience Act face au vide

L’Union européenne a fait entrer en vigueur le Cyber Resilience Act (CRA) le 10 décembre ^[77]. Selon plusieurs sources, les obligations de notification des vulnérabilités et de suivi de sécurité tout au long du cycle de vie des produits devraient s’appliquer pleinement d’ici 2027, avec des échéances intermédiaires dès septembre 2026 ^[78].

Sur le papier, le CRA aurait pu changer la donne. Il impose aux éditeurs de logiciels une obligation de vigilance continue. Mais l’affaire Essential Plugin expose précisément le vide que le texte ne comble pas: que se passe-t-il quand un plugin change de propriétaire? Le CRA encadre le développeur qui publie un logiciel, pas la marketplace qui facilite la revente d’un portefeuille entier de plugins à un acheteur anonyme. Flippa ^[14] n’est soumis à aucune obligation d’audit du code après transfert, ni de vérification de l’identité réelle de l’acquéreur. Le CRA ne prévoit rien non plus pour le cas où un acheteur laisse volontairement dormir une porte dérobée pendant des mois avant de l’activer - un scénario qui échappe aux mécanismes de notification conçus pour des vulnérabilités découvertes, pas pour des vulnérabilités délibérément introduites. Reste à savoir si les régulateurs européens adapteront le texte à ce type de menace.

Ce que les sources ne disent pas

Aucune source consultée n’explique comment « Kris » ^[65] a obtenu l’accès au dépôt SVN de WordPress.org pour publier les mises à jour infectées. Le transfert de propriété d’un plugin sur WordPress.org implique-t-il un contrôle d’identité? Aucune source ne le précise.

Essential Plugin ^[79] avait été fondé vers 2015 ^[80] sous le nom WP Online Support ^[81] par Minesh Shah, Anoop Ranawat et Pratik Jain ^[13], une équipe basée en Inde. Renommé en 2021 ^[82]. Plus de 15 000 clients ^[83]. Plus de 400 000 installations ^[84]. Tout ça racheté, piégé, activé. En silence.

Les 31 plugins ^[85] sont fermés définitivement. Le code malveillant, lui, attend toujours dans des milliers de fichiers wp-config.php.