Plus de 100 000 tentatives d’exploitation bloquées, une porte dérobée PHP déposée sur les sites vulnérables : la faille du plugin WooCommerce Wholesale Lead Capture n’a rien d’une alerte théorique. Wordfence, l’éditeur du pare-feu WordPress, constate des vagues d’attaques fin juin, début juillet et fin août, et la campagne tourne toujours.
La cible : une extension premium d’environ 6 000 installations actives, utilisée par des boutiques WooCommerce pour gérer les demandes de compte grossiste. Si c’est ton cas, la vérification tient en cinq minutes, la marche à suivre est plus bas.
Une faille connue depuis février
Référencée CVE-2026-27540, la faille affiche un score CVSS de 9,8 sur 10, le haut du panneau critique. Concrètement, elle permet à n’importe quel visiteur, sans compte ni mot de passe, de déposer un fichier sur le serveur du site. Si ce fichier porte l’extension .php, le serveur l’exécute : c’est la porte ouverte à une prise de contrôle complète.
Le chercheur Teemu Saarentaus a découvert la faille, et le plugin l’a corrigée dès le 20 février 2026 dans sa version 2.0.3.2. Sept mois plus tard, les pirates trouvent encore des sites non patchés, et cela suffit largement à alimenter des campagnes automatisées qui tentent l’exploitation à la chaîne.
Cisco Secure Email Gateway connaît exactement le même scénario ce mois-ci : un correctif disponible, des attaques actives, et des victimes qui n’ont pas encore mis à jour. La mise à jour reste le maillon faible, quelle que soit la brique logicielle.
Comment les pirates s’y prennent
Le plugin expose une fonction d’upload accessible sans connexion, chargée de recevoir les fichiers joints aux demandes de compte grossiste. Son point faible : la liste des types de fichiers autorisés est lue depuis la requête elle-même, et non depuis la configuration du site. L’attaquant écrit donc sa propre liste, y ajoute «php», et le plugin accepte son fichier.
Wordfence a publié la requête type : un simple POST vers le fichier admin-ajax.php de WordPress, avec un paramètre forgé et un fichier shell.php. Une fois déposé, ce webshell, c’est-à-dire une porte dérobée pilotable depuis un navigateur, affiche les informations du serveur et propose même un formulaire d’upload pour installer d’autres fichiers malveillants.
De là, l’attaquant peut créer un compte administrateur, aspirer des données ou prendre le contrôle total de la boutique. Commandes, données clients, réputation : tout y passe.
La checklist pour sauver ta boutique
La priorité absolue : mettre le plugin à jour vers la version 2.0.3.2 ou plus récente. Un plugin qui n’apparaît plus dans tes extensions, parce qu’il a été supprimé ou remplacé, n’est plus exposé : la faille ne concerne que les versions 2.0.3.1 et antérieures encore actives.
✉️ Un moment, avant de continuer la lecture…
Le rendez-vous du dimanche : un extrait de la chronique « Un pavé dans la tech », les 4-5 infos qui comptent et un aperçu de la semaine à venir. Inscription gratuite, désinscription en un clic.
Ensuite, quelques vérifications rapides, même si tu crois être à jour :
- Cherche dans tes dossiers d’upload des fichiers PHP récents ou inconnus, notamment un fichier shell.php.
- Parcours tes logs à la recherche de requêtes vers /wp-admin/admin-ajax.php contenant wwlc_file_upload_handler.
- Passe en revue la liste des comptes administrateurs et supprime ceux que tu ne reconnais pas.
- Si une compromission est confirmée, restaure une sauvegarde saine plutôt que de traquer chaque porte dérobée, souvent dissimulée en plusieurs endroits.
Wordfence fournit aussi une liste d’adresses IP responsables de dizaines de milliers de tentatives : à bloquer si ton pare-feu le permet. Mais considère cette liste comme un pansement, pas comme une protection durable : les adresses changent, la faille reste la cible.
Ce que ça change pour les autres sites WordPress
Rien d’inédit dans le mode opératoire, et c’est justement le problème. Les failles d’upload touchent régulièrement des extensions WordPress très installées, et les campagnes automatisées repèrent les retardataires en quelques heures. Une boutique mise à jour le jour de la sortie du correctif n’a rien à craindre ; une boutique qui attend sept mois devient une statistique.
Si tu gères un site WooCommerce, deux réflexes valent de l’or : activer les mises à jour automatiques pour les extensions de sécurité, et garder une sauvegarde récente testée, que tu sauras restaurer sans improviser. Ce sont les deux seuls paramètres qui décident vraiment de la fin de l’histoire.
Un correctif depuis février, 100 000 attaques, et toujours des sites ouverts : la sécurité, ce n’est pas la faille qui l’emporte, c’est le retard avec lequel on applique le patch. Cinq minutes aujourd’hui valent mieux qu’une restauration en catastrophe demain.
Sources
Wordfence : l’analyse technique complète de la faille, la requête d’attaque et les adresses IP les plus actives, publiée le 14 septembre 2026.
Patchstack : la fiche de vulnérabilité du plugin, avec les versions affectées et la version corrigée 2.0.3.2.
BleepingComputer : le relais de la campagne d’exploitation en cours, le 15 septembre 2026.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet