Votre tableau de bord WordPress indique que tout est à jour. Le cœur tourne sur la dernière version, le thème semble en ordre et le site se charge rapidement. Pourtant, une seule extension oubliée peut suffire à ouvrir la porte à un attaquant.
C'est pourquoi nous avons activé l'analyse CMS Threats et les notifications hebdomadaires dans cPGuard sur l'hébergement cPanel de WebGee. cPGuard vérifie désormais chaque installation WordPress, Joomla et Drupal de votre compte à la recherche de vulnérabilités connues, et vous indique précisément quelle extension ou quel thème nécessite votre attention — avant que quelqu'un d'autre ne s'en aperçoive.
À retenir
- La plupart des piratages WordPress passent par une extension obsolète ou abandonnée, pas par le cœur de WordPress.
- Sur l'hébergement cPanel de WebGee, cPGuard analyse désormais chaque site WordPress, Joomla et Drupal à la recherche de vulnérabilités connues et vous envoie un rapport hebdomadaire par e-mail.
- « Status: latest » concerne uniquement le cœur ; la colonne CVE indique l'extension ou le thème le plus à risque.
- Désactiver une extension ne vous protège pas. Supprimez celles que vous n'utilisez pas.
- Faites une sauvegarde, mettez à jour ou remplacez les éléments signalés, puis vérifiez qu'ils apparaissent comme Safe dans cPGuard.
Dans ce guide
- Pourquoi les extensions, et non WordPress lui-même, sont la porte d'entrée habituelle
- Ce que vous apprend le nouvel e-mail hebdomadaire de cPGuard
- Comment repérer l'extension vulnérable dans cPanel en moins d'une minute
- Comment la corriger en toute sécurité, et vérifier que c'est réglé
Pourquoi les extensions sont le maillon faible
Le cœur de WordPress est maintenu par une importante équipe dédiée à la sécurité et se met à jour automatiquement pour les versions mineures. Les extensions et les thèmes, c'est une autre histoire. Un site classique en utilise une douzaine, voire plus, développés par des auteurs différents, mis à jour à des rythmes différents — et certains sont purement et simplement abandonnés.
Lorsqu'une vulnérabilité est publiée pour une extension populaire, des robots automatisés commencent à parcourir Internet à la recherche de sites qui utilisent encore l'ancienne version, souvent en quelques heures. La taille de votre site leur importe peu. Si le fichier vulnérable se trouve sur votre serveur, ils tenteront de l'exploiter.
Le piège le plus courant, c'est l'extension que vous n'utilisez même pas. Désactiver une extension ne vous protège pas : ses fichiers restent sur le serveur et peuvent toujours être appelés directement, et c'est ainsi que la plupart de ces vulnérabilités sont exploitées.
« À jour » ne veut pas dire « sécurisé » Un site peut tourner sur la toute dernière version de WordPress et présenter malgré tout une vulnérabilité à haut risque dans une extension. cPGuard affiche ces deux informations séparément, pour que vous voyiez la différence d'un coup d'œil.
Ce que cPGuard fait désormais pour vous
cPGuard est la suite de sécurité intégrée à l'hébergement cPanel de WebGee. En plus de l'analyse antimalware et de son pare-feu applicatif web, elle exécute désormais une analyse CMS Threats sur l'ensemble de votre compte :
- Elle repère chaque installation WordPress, Joomla et Drupal, y compris les anciennes copies et les dossiers de préproduction oubliés.
- Elle compare le cœur, chaque extension et chaque thème aux vulnérabilités publiées (CVE).
- Elle recherche les fichiers malveillants dans l'installation et les contenus infectés dans sa base de données.
- Elle vous envoie chaque semaine un récapitulatif par e-mail, intitulé Threats to CMS installations detected.
Elle s'applique aux hébergements mutualisés, revendeur et Premium sous cPanel — il n'y a rien à installer ni à activer.
Comment lire l'e-mail hebdomadaire
Les quatre chiffres en haut de l'e-mail recensent les problèmes sur l'ensemble de votre compte :
- Critical CMS Issues — les installations présentant au moins une vulnérabilité connue.
- Updates Pending — les installations dont la version du cœur n'est pas à jour.
- CMS threats — les fichiers malveillants trouvés dans une installation.
- Database infections — les contenus malveillants trouvés dans la base de données d'une installation.
En dessous, un tableau liste chaque site concerné. Deux colonnes sont faciles à mal interpréter lorsqu'on les lit ensemble. Status concerne uniquement le cœur du CMS : latest signifie que WordPress lui-même est à jour. CVE indique la vulnérabilité connue la plus grave présente dans l'installation, généralement dans une extension ou un thème. Le score est noté sur 10 : de 4.0 à 6.9, il est Medium ; de 7.0 à 8.9, High ; à partir de 9.0, Critical.
Une ligne affichant latest à côté de High, 7.5 n'a donc rien de contradictoire. Votre cœur est à jour, mais un élément installé par-dessus présente une vulnérabilité publiée.
Si « CMS threats » ou « Database infections » est supérieur à zéro Le site n'est pas seulement exposé : il est déjà infecté. Laissez les mises à jour de côté et passez directement au nettoyage du site — ou ouvrez un ticket, et nos ingénieurs vous aideront.
Repérer l'extension vulnérable dans cPanel
- Dans cPanel, saisissez cPGuard dans le champ de recherche des outils, puis ouvrez-le.
- Sélectionnez CMS Threats.
- Retrouvez l'installation mentionnée dans l'e-mail. CVE affiche son pire score, Plugins le nombre d'extensions obsolètes, et Issues l'ensemble des problèmes détectés par cPGuard.
- Sélectionnez l'installation pour ouvrir CMS Details, puis passez en revue les onglets : Plugins, Themes, Core issues et Threats.
Dans les onglets Plugins et Themes, une version affichée en rouge avec yes dans la colonne Update available est obsolète. Un score dans la colonne CVE, à la place de Safe, correspond à la vulnérabilité signalée dans l'e-mail. Notez son nom.
Corriger en toute sécurité
Commencez par une sauvegarde. Chez WebGee, des sauvegardes JetBackup quotidiennes sont déjà disponibles dans cPanel, mais en créer une nouvelle ne prend que quelques secondes et vous permet d'annuler facilement n'importe quelle mise à jour.
- Connectez-vous à l'administration WordPress via
/wp-adminet ouvrez Tableau de bord › Mises à jour. - Mettez à jour chaque extension ou thème que vous avez noté dans cPGuard.
- Si un élément présente un score CVE mais qu'aucune mise à jour n'est disponible, c'est que son auteur ne l'a pas encore corrigé. Désactivez-le, supprimez-le et remplacez-le par une alternative maintenue.
- Supprimez toutes les extensions et tous les thèmes que vous n'utilisez plus, y compris ceux qui sont inactifs.
# Prefer the command line? With SSH access, WP-CLI does the same in seconds:
wp plugin list --update=available
wp plugin update --all
# Remove a plugin you no longer use (deactivating is not enough)
wp plugin delete old-slider-pluginVérifier que c'est réglé
- Dans WordPress, la page Mises à jour n'affiche plus rien en attente.
- Dans cPGuard › CMS Threats, rouvrez l'installation. Les éléments que vous avez mis à jour affichent désormais Safe dans la colonne CVE.
cPGuard revérifie les installations selon son propre calendrier : la page peut donc mettre un peu de temps à se mettre à jour. Votre prochain e-mail hebdomadaire ne devrait plus mentionner le site.
Le site apparaît toujours ?
- Vous ne reconnaissez pas l'installation. Les anciennes copies comme
public_html/oldou un dossier de préproduction oublié sont également analysés — et constituent une porte d'entrée fréquente. Si vous n'avez plus besoin de cette copie, supprimez son dossier et sa base de données. - La mise à jour échoue. L'extension nécessite peut-être une version plus récente de PHP, que vous pouvez modifier site par site dans cPanel.
- Tout est indiqué Safe, mais l'e-mail continue d'arriver. Ouvrez un ticket en indiquant votre code PIN d'assistance et le chemin de l'installation, et nous examinerons la situation avec vous.
Une sécurité qui veille pendant que vous gérez votre activité
La plupart des propriétaires de sites n'ont pas le temps de suivre les alertes de vulnérabilité pour chaque extension qu'ils installent. Avec l'analyse CMS Threats, vous n'avez plus à le faire : cPGuard surveille vos installations et vous prévient dès qu'un élément demande votre attention, avec des chiffres clairs et le nom exact de l'extension à mettre à jour.
Elle vient s'ajouter à tout ce qui est déjà inclus dans l'hébergement cPanel de WebGee : la rapidité de LiteSpeed, le SSL gratuit, les sauvegardes quotidiennes, l'analyse antimalware et de vrais ingénieurs disponibles par chat 24h/24, 7j/7.
Questions fréquentes
Quelles offres WebGee incluent l'analyse CMS Threats de cPGuard ?
Elle s'applique aux sites WordPress, Joomla et Drupal hébergés sur les offres mutualisées, revendeur et Premium de WebGee sous cPanel. Il n'y a rien à installer ni à activer.
À quelle fréquence cPGuard analyse-t-il mon site WordPress ?
cPGuard revérifie vos installations selon son propre calendrier et vous envoie chaque semaine un récapitulatif par e-mail, intitulé « Threats to CMS installations detected ».
Mon e-mail indique Status: latest, mais CVE: High. Mon site est-il sécurisé ?
Le statut concerne uniquement le cœur de WordPress. La colonne CVE indique la vulnérabilité la plus grave présente dans l'installation, généralement dans une extension ou un thème. Ouvrez cPGuard › CMS Threats dans cPanel pour savoir lequel est en cause, puis mettez-le à jour ou supprimez-le.
Suffit-il de désactiver une extension vulnérable ?
Non. Les fichiers d'une extension désactivée restent sur le serveur et peuvent toujours être appelés directement. Si vous n'utilisez pas une extension, supprimez-la.
Que faire si aucune mise à jour n'est disponible pour une extension vulnérable ?
Cela signifie que son auteur ne l'a pas encore corrigée. Désactivez-la, supprimez-la et remplacez-la par une alternative activement maintenue.
