Exploitation massive de CMS en 2026 : extensions WordPress, Craft, Joomla JCE

Ce que signale l’ACSC

Selon l’alerte, des acteurs analysent des sites du monde entier, souvent de petites et moyennes entreprises, à la recherche de failles permettant le téléversement non authentifié, l’exécution de code à distance, la SSRF ou la désérialisation, puis déposent des webshells pour défigurer le site, voler des identifiants, héberger des malwares ou pivoter vers le réseau.

Mon site est-il concerné ?

• Lister les extensions installées et leurs versions (avec WP-CLI : wp plugin list) et comparer avec le tableau et les versions corrigées des éditeurs.
• Chercher des fichiers PHP dans les dossiers de téléversement et des fichiers PHP modifiés récemment que vous n’avez pas déployés.
• Contrôler les nouveaux comptes administrateur, tâches planifiées et connexions sortantes inconnues.

# Recently changed PHP files in a web root (adjust the path and days)
find /var/www -name '*.php' -mtime -30 -print
# PHP files where none should exist
find /var/www -path '*/uploads/*' -name '*.php' -print

Comment corriger

• Mettre à jour ou supprimer chaque composant listé ; supprimer les extensions inutilisées.
• En cas de webshell, considérer le serveur comme compromis : conserver une copie, restaurer une sauvegarde saine ou reconstruire, et changer les identifiants base de données, admin, FTP/SSH et API.
• Maintenir aussi le moteur PHP à jour ; voir le correctif PHP2Shell.

FAQ