WordPress en octobre : une mise à jour officielle piégée et des plugins exploités, que vérifier

WordPress est le système le plus répandu pour les sites des PME, au Tessin aussi. La règle de base pour le garder sûr est connue : installer les mises à jour dès leur sortie. Mi-octobre 2026, pourtant, c'est l'inverse de ce que l'on attend qui s'est produit : pendant quelques heures, c'est une mise à jour officielle qui a apporté le malware sur les sites.

Le cas concerne Rank Math SEO PRO, la version payante d'un plugin SEO très utilisé. Au cours des mêmes semaines, des failles critiques du noyau de WordPress et de plusieurs plugins ont été corrigées, certaines déjà exploitées. Voici les faits vérifiés et une liste de contrôles pour toute personne qui exploite un site WordPress ou le confie à un prestataire.

Ce qui s'est passé avec Rank Math PRO

Selon l'avis publié par l'éditeur, un nombre limité d'utilisateurs ayant téléchargé Rank Math PRO 3.0.123 entre le 15 octobre 2026 à 22h02 et le 16 octobre à 09h12 (heure suisse ; 20h02-07h12 UTC) ont reçu des fichiers du plugin contenant un malware. Les copies manipulées provenaient du canal de distribution officiel : les téléchargements comme les mises à jour du plugin étaient concernés. Rank Math a retiré les fichiers et publié le 16 octobre la version saine 3.0.124, comme l'indique son journal des modifications.

Si le plugin était activé, le malware pouvait ouvrir un accès permanent au site, recréer des portes dérobées cachées à chaque visite, créer des comptes administrateur et exposer les identifiants présents sur le serveur : base de données, clés API, accès aux services de paiement et de messagerie. Le cas a reçu l'identifiant CVE-2026-111862, avec un score de 9,8 sur 10. L'avis de l'éditeur n'indique ni combien de sites ont été touchés, ni comment les fichiers manipulés sont entrés dans le canal de distribution.

Selon l'éditeur, la version gratuite de Rank Math SEO distribuée sur WordPress.org n'est pas concernée.

Pourquoi ce cas est différent

D'habitude, le problème est une version ancienne : on met à jour et la faille est fermée. Ici, le numéro de version ne suffit pas. Une copie de 3.0.123 téléchargée avant ou après la fenêtre de onze heures est saine ; ce qui compte, c'est le moment du téléchargement et l'activation. Surtout, passer à la 3.0.124 ne supprime pas ce que le malware a déjà installé : comptes ajoutés, fichiers cachés, tâches planifiées et identifiants déjà lus restent.

Rank Math distingue trois situations :

• Version 3.0.123 installée et activée pendant la période : le site doit être considéré comme compromis.
• Installée mais jamais activée : supprimer les fichiers du plugin, installer la 3.0.124 depuis son compte Rank Math et lancer une analyse de sécurité.
• Seulement téléchargée, sans installation : selon l'éditeur, rien n'indique une compromission liée à cet incident.

Les autres failles WordPress de ces dernières semaines

Le cas Rank Math n'est pas isolé. Entre septembre et octobre 2026 :

• Noyau de WordPress : la version 7.1.2 du 22 septembre a corrigé une faille critique (CVE-2026-87902) qui, dans certaines configurations du serveur et du thème, permet d'exécuter du code sans connexion. Selon Patchstack, cité par BleepingComputer, les premières tentatives d'exploitation sont arrivées moins de cinq heures après la correction. Le 6 octobre a suivi la version 7.1.3 avec sept corrections de sécurité ; c'est la version actuelle à la date de cet article. La correction a aussi été reportée sur les versions antérieures, jusqu'à la 4.7.
• Bricksforge, extension payante du constructeur de pages Bricks : faille critique permettant de téléverser et d'exécuter du code sans connexion, exploitée depuis le 7 octobre selon Patchstack. Corrigée dans la 3.1.8.10.
• Ninja Forms et WPC Product Bundles for WooCommerce : failles utilisées dans une campagne, limitée pour l'instant, qui installait un faux plugin et créait des administrateurs (BleepingComputer). Corrigées dans les versions 3.15.4 et 8.6.7.
• The Grid (jusqu'à la 2.8.1, corrigée dans la 2.8.2), Theme My Login (jusqu'à la 7.2.1, corrigée dans la 7.2.2, seules certaines installations multisites sont concernées) et MailOptin (jusqu'à la 1.2.78.6, corrigée dans la 1.2.78.7) : failles critiques exploitables sans connexion, que Patchstack signale comme connues pour être exploitées.

Un point pratique : Rank Math PRO, Bricksforge et The Grid sont des plugins payants. Ils n'apparaissent pas dans les mises à jour de WordPress.org et leurs fichiers ne peuvent pas être comparés à des sommes de contrôle publiques. Les mises à jour n'arrivent que par le canal de l'éditeur, et ce sont souvent ces plugins qui prennent du retard.

Que faire maintenant

1. Faire l'inventaire

Pour chaque site WordPress, notez la version de WordPress et la liste des plugins avec leur version, en séparant les gratuits des payants. Si un prestataire gère le site, demandez-lui cette liste par écrit.

2. Rank Math PRO : établir quand la 3.0.123 est arrivée

Si vous utilisez Rank Math PRO, vérifiez si la 3.0.123 a été installée entre le 15 octobre à 22h02 et le 16 octobre à 09h12, par exemple à partir du journal des mises à jour, des dates des fichiers ou de la communication reçue de l'éditeur. Si elle a été activée pendant cette période, suivez la procédure de l'avis : la restauration recommandée est une restauration complète (fichiers et base de données) depuis une sauvegarde antérieure au début de la période, suivie du changement de tous les identifiants. Un nettoyage manuel est possible, mais il doit suivre l'ordre indiqué par l'éditeur et se fait de préférence par un professionnel ou l'hébergeur. Désactiver le plugin ne suffit pas.

3. Changer les identifiants, même après une restauration

Rank Math juge cette étape essentielle même après une restauration : mots de passe des utilisateurs WordPress, mot de passe de la base de données, clés de sécurité de WordPress, clés API, identifiants de messagerie et de paiement, accès à l'hébergement, FTP/SFTP et SSH. Vérifiez ensuite l'authentification multifacteur des administrateurs (voir les cinq niveaux de sécurité des accès de l'OFCS).

4. Mettre à jour le reste

Passez WordPress en 7.1.3 et les plugins cités au moins aux versions corrigées. Si une mise à jour n'est pas possible tout de suite, désactivez le plugin. Après la mise à jour, contrôlez la liste des administrateurs et les changements récents de mots de passe et d'adresses e-mail : la mise à jour ferme la faille, mais n'annule pas un accès déjà obtenu. Vérifiez aussi la version de PHP du serveur, après les failles PHP de la semaine dernière.

5. Tenir des sauvegardes et un journal des mises à jour

Ce cas montre la valeur de deux choses simples : des sauvegardes quotidiennes conservées au moins quelques semaines, qui permettent de revenir à un état antérieur à une date précise, et un journal indiquant quand chaque plugin a été mis à jour. Sans elles, il est difficile de répondre à la question « notre site était-il exposé ? ».

6. Se méfier des e-mails « de sécurité »

Rank Math précise qu'il n'envoie jamais de liens de connexion ou de téléchargement par e-mail. Après ce genre d'incident, de faux avis circulent souvent pour inviter à télécharger une « version corrigée » : ne téléchargez les mises à jour qu'en vous rendant directement sur le site de l'éditeur.

Obligations de signalement en Suisse

Un site WordPress compromis peut exposer des données de clients, par exemple des formulaires de contact, des commandes ou des comptes d'utilisateurs :

• Protection des données (nLPD) : une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées doit être annoncée dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT), selon l'art. 24 LPD. Le PFPDT met à disposition un formulaire en ligne.
• Infrastructures critiques : depuis le 1er avril 2025, les exploitants d'infrastructures critiques, y compris les administrations cantonales et communales, doivent signaler les cyberattaques à l'OFCS dans les 24 heures suivant leur découverte.
• Pour les autres entreprises, le signalement à l'OFCS est volontaire, mais il aide à évaluer le cas.

L'étude « Cybersécurité des PME 2026 » a montré que la préparation organisationnelle est le point faible de nombreuses PME : savoir qui gère le site, où se trouvent les sauvegardes et qui décide en cas d'incident.

Questions fréquentes

J'utilise la version gratuite de Rank Math : dois-je faire quelque chose ?

Selon l'éditeur, non : l'incident ne concerne que Rank Math PRO. Les mises à jour habituelles de WordPress et des autres plugins restent valables.

J'ai déjà mis à jour vers la 3.0.124 : suis-je tranquille ?

Seulement si la 3.0.123 manipulée n'a jamais été activée. Si elle l'a été, la mise à jour remplace le plugin mais ne supprime pas ce que le malware a installé : il faut une restauration depuis une sauvegarde ou un nettoyage complet, et de nouveaux identifiants.

Les mises à jour automatiques sont-elles toujours une bonne idée ?

Oui. Un site aux versions anciennes reste exposé aux failles exploitées citées plus haut, bien plus fréquentes qu'une mise à jour piégée. Il vaut mieux les combiner avec des sauvegardes régulières et un journal des mises à jour.

Une agence gère mon site : que demander ?

Demandez par écrit si le site utilise Rank Math PRO ou l'un des plugins cités, quand ils ont été mis à jour, s'il existe des sauvegardes antérieures au 15 octobre et si des contrôles des comptes et des fichiers ont été effectués.

Notre approche

ElaraTeq Sagl développe et gère des sites et des applications pour les PME et les collectivités publiques au Tessin, avec un hébergement en Suisse. Nous pouvons contrôler votre site WordPress, mettre à jour le noyau et les plugins, vérifier les comptes et les fichiers et mettre en place sauvegardes et journal des mises à jour. Pour la gestion continue, il existe le service décrit dans Orbit ; pour un contrôle, contactez-nous.

Sources

• Rank Math, « Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website », octobre 2026 : rankmath.com ; journal des modifications de Rank Math PRO : v3.0.124 du 16 octobre 2026
• CVE Program, CVE-2026-111862 (publié le 19 octobre 2026)
• BleepingComputer, 19 octobre 2026: WordPress SEO plugin Rank Math compromised to backdoor websites ; SecurityWeek, 19 octobre 2026 : Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack
• WordPress.org, WordPress 7.1.2 Release, 22 septembre 2026 ; WordPress 7.1.3 Maintenance and Security Release, 6 octobre 2026
• BleepingComputer, 23 septembre 2026 : Hackers start exploiting critical WordPress flaw for code execution
• Patchstack, 8 octobre 2026 : Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin ; BleepingComputer, 6 octobre 2026 : Ninja Forms plugin flaw exploited to hack WordPress sites
• Patchstack, fiches de vulnérabilité : The Grid, Theme My Login, MailOptin; CVE Program, CVE-2026-89079 (Theme My Login)
• PFPDT, Annonce des violations de la sécurité des données ; OFCS, Obligation de signaler les cyberattaques contre les infrastructures critiques