Comment trouver les extensions WordPress obsolètes présentant des vulnérabilités connues
En bref : listez chaque extension avec sa version installée et la dernière version (Tableau de bord → Mises à jour, ou wp plugin list --update=available), cherchez chacune dans une base publique de vulnérabilités comme Wordfence Intelligence, WPScan ou Patchstack, mettez à jour ou supprimez tout ce qui est vulnérable, et supprimez les extensions fermées ou qui ne sont plus maintenues.
Étapes rapides
- Listez les extensions et leurs versions. Utilisez Tableau de bord → Mises à jour ou WP-CLI pour voir les versions installées et disponibles.
- Cherchez les vulnérabilités connues. Recherchez chaque extension dans une base publique de vulnérabilités WordPress.
- Mettez à jour ou supprimez. Mettez à jour les extensions vulnérables ; supprimez celles sans correctif ou que vous n’utilisez pas.
- Repérez les extensions abandonnées. Consultez la page de chaque extension sur WordPress.org : avis de fermeture et date de dernière mise à jour.
- Activez les mises à jour automatiques. Activez-les pour les extensions de confiance, et gardez des sauvegardes.
Le code et la configuration restent en anglais.
1. Listez les extensions et leurs versions
Dans l’administration, Tableau de bord → Mises à jour liste tout ce qui a une mise à jour. Avec un accès shell, WP-CLI est plus rapide :
wp plugin list --fields=name,status,version,update_version
wp plugin list --update=available
wp theme list --update=available
wp core check-update2. Cherchez les vulnérabilités connues
Recherchez le slug de chaque extension dans une base publique. Chaque entrée indique les versions concernées et la version qui corrige le problème :
3. Mettez à jour, ou supprimez
- Faites d’abord une sauvegarde, puis mettez à jour. Testez ensuite le paiement, les formulaires et la connexion.
- S’il n’existe pas de version corrigée, désactivez et supprimez l’extension, et trouvez une alternative.
- Les extensions désactivées restent des fichiers sur votre serveur. Supprimez ce que vous n’utilisez pas.
wp plugin update --all --dry-run
wp plugin update contact-form-7
wp plugin delete hello-dolly4. Repérez les extensions fermées ou abandonnées
Ouvrez la page de chaque extension sur WordPress.org. Une extension fermée affiche un avis et ne reçoit plus de correctifs. Une extension qui n’a pas été mise à jour depuis des années, ou pas testée avec les versions récentes de WordPress, est un risque même sans vulnérabilité publiée.
5. Vérifiez que les fichiers n’ont pas été modifiés
wp core verify-checksums
wp plugin verify-checksums --allDes fichiers du cœur ou d’extensions modifiés peuvent indiquer que le site est déjà compromis. Voir comment savoir si votre site WordPress est piraté.
6. Activez les mises à jour automatiques
Depuis WordPress 5.5, vous pouvez activer les mises à jour automatiques extension par extension depuis l’écran Extensions. Activez-les pour les extensions bien maintenues et gardez des sauvegardes quotidiennes pour pouvoir revenir en arrière.
Ce qu’une analyse à distance peut voir
L’analyse gratuite de HackGrade repère les extensions, les thèmes et la version du cœur que révèlent vos pages publiques (par exemple via les chemins de fichiers et les chaînes de version) et les compare aux données publiques de vulnérabilités. Les extensions qui ne laissent aucune trace dans les pages publiques sont invisibles de l’extérieur : la liste WP-CLI ci-dessus est donc la liste complète.
Questions fréquentes
Peut-on mettre à jour toutes les extensions d’un coup sans risque ?
En général oui, mais faites d’abord une sauvegarde et testez ensuite les pages clés. Sur une boutique très fréquentée, mettez à jour une extension à la fois.
Désactiver une extension vulnérable me protège-t-il ?
En partie. Certains fichiers vulnérables restent accessibles directement. Supprimez les extensions que vous n’utilisez pas.
Comment savoir si une vulnérabilité est réellement exploitée ?
Des bases comme Wordfence Intelligence et Patchstack signalent l’exploitation active, et la CISA recense les CVE exploitées dans son catalogue KEV. Traitez-les en urgence.