Alerte de sécurité WordPress ! Mettez à jour vos sites web

Quand on parle de WordPress, on parle bien de 43% des sites web, des blogs personnels et aussi des gros sites d’actualités et de sites e-commerce. Et d’ailleurs Tech’Croute est l’un des blogs propulsés par ce fameux CMS qui a facilité les tâches d’une centaine de webmasters et développeurs dans le monde entier.

C’est pour cette raison qu’une simple faille de sécurité dans ce CMS ou dans l’un de ses plugins tiers peut infliger des dégâts colossaux et immenses même aux plus célèbres sites web de la toile.

L’alerte de sécurité d’aujourd’hui vient de la société Dr Web, un éditeur russe de solution de cybersécurité axées sur la détection de menaces et des technologies de prévention. Ce dernier a recensé plus de 20 failles dispersées dans plusieurs thèmes et plugins et qui peuvent être exploitées par un nouveau malware Linux. 

Le Malware en question est vraiment capable d’injecter du code javascript de redirection au sein des pages web pour les infecter tout d’abord puis pour rediriger les visiteurs du site WordPress infecté vers d’autres domaines et sites web malveillants. 

Cet exploit (le logiciel malveillant qui exploite la faille) existe dans la nature sous deux noms connus pour l’instant:
– Linux.BackDoor.WordPressExploit.1 
– Et Linux.BackDoor.WordPressExploit.2

Je note ici que ces deux exploits sont capables aussi d’attaquer les comptes administrateurs et utilisateurs d’un site web sous WordPress par force brut (bruteforce attack), une technique qui consiste à tester, l’une après l’autre, chaque combinaison possible d’un mot de passe pour un identifiant donné afin se connecter à la page d’administration.

Vérifiez donc si vos thèmes et plugins sont à jour ou non surtout ceux qui figurent dans cette liste ciblée par ce malware : 

• WooCommerce
• WP LiveChat et WP Live Chat Support Plugin
• Page Coming Soon et Mode Maintenance
• Yuzo Related Posts Plugin
• Yellow Pencil : Visual CSS Editon
• Easy SMTP
• WP GDPR Compliance
• Thim Core by ThimPress
• Smart Google Code Inserter
• Total Donations Plugin for WordPress
• Post Custom Templates Lite – WordPress Plugin
• WP Quick Booking Manager by WPProducts
• Facebook Live Chat by Zotabox
• Blog Designer : WordPress Blog Plugin
• Ultimate FAQ (CVE-2019-17232 et CVE-2019-17233)
• WP-Matomo Integration
• ND Shortcodes – Extension WordPress
• Brizy – Page Builder
• FV Flowplayer Video Player – WordPress Plugin
• Simple Fields – Custom Fields Plugin
• Delucks SEO – Extension WordPress
• Poll, Survey, Form & Quiz Maker by Opinion Stage
• Social Metrics Tracker
• WPeMatico
• Rich Reviews by Starfish plugin for WordPress
• Thème Newspaper (CVE-2016-10972)
• Thème WordPress OneTone
• Hybride