Entre le 15 octobre 2026 à 20 h 02 UTC et le 16 octobre à 7 h 12 UTC, la version 3.0.123 de l’extension payante Rank Math PRO, téléchargée ou mise à jour depuis l’infrastructure de l’éditeur, contenait un code malveillant installant des portes dérobées persistantes. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur l’avis de l’éditeur et sur la presse spécialisée : le vecteur d’entrée chez l’éditeur, le nombre de sites touchés et l’objectif final ne sont pas publiés.
Pour une lecture orientée dirigeant, voir notre décryptage « Extension WordPress piégée : quand la mise à jour officielle installe le pirate ».
Contexte
- Produit : Rank Math PRO, version payante d’une extension SEO pour WordPress (version gratuite : plus de 4 millions d’installations actives, non concernée). La version PRO est distribuée et mise à jour depuis l’infrastructure de l’éditeur, hors du dépôt WordPress.org (Rank Math, avis du 16 octobre 2026, mis à jour le 19 octobre).
- Périmètre : copies de la 3.0.123 obtenues pendant la fenêtre d’environ 11 heures. Le numéro de version ne discrimine pas : la 3.0.123 est datée du 7 octobre dans le journal des modifications, et une copie obtenue avant la fenêtre est saine (The Hacker News, 19 octobre 2026).
- Classement : CVE-2026-111862 attribué par Wordfence, score CVSS 9,8 ; Patchstack souligne qu’aucune règle de pare-feu applicatif ne peut atténuer une compromission du canal de l’éditeur.
- Ampleur : « nombre limité d’utilisateurs » selon l’éditeur, sans chiffre. Rank Math n’a pas répondu à BleepingComputer sur le nombre de sites et le vecteur initial.
- Attaquant : non identifié, aucune revendication. Le domaine contacté par le code a été enregistré la veille de l’ouverture de la fenêtre, selon The Hacker News.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial (chez l’éditeur) | Fichiers piégés insérés dans le système de téléchargement et de mise à jour ; méthode non publiée | Non déterminable à ce stade |
| Accès initial (chez les clients) | Installation ou mise à jour de l’extension depuis le canal officiel, puis activation | T1195.002 Supply Chain Compromise: Compromise Software Supply Chain |
| Persistance | Portes dérobées PHP dans plusieurs répertoires (autres extensions, thèmes, extensions « must-use », téléversements), faux fichier du cœur WordPress, entrée en base, mécanisme de recréation à chaque visite | T1505.003 Server Software Component: Web Shell |
| Persistance complémentaire | Comptes administrateurs WordPress, tâches planifiées WordPress et système, clés SSH ajoutées, règle de serveur web faisant exécuter du PHP caché dans des fichiers d’apparence anodine | T1136 Create Account ; T1053.003 Scheduled Task/Job: Cron ; T1098.004 Account Manipulation: SSH Authorized Keys |
| Évasion | Code obscurci (encodage et XOR) | T1027 Obfuscated Files or Information |
| Accès aux secrets | Tout secret accessible au site à considérer comme exposé (base de données, clés et sels WordPress, paiement, SMTP, API, hébergement) | T1552.001 Unsecured Credentials: Credentials In Files |
| Commande et contrôle | Connexions sortantes vers un domaine contrôlé par l’attaquant | T1071.001 Application Layer Protocol: Web Protocols |
| Objectif final | Non documenté | Non applicable |
Faits techniques connus
- La compromission touche le canal de distribution de l’éditeur, pas une vulnérabilité du code de l’extension : la mise à jour automatique a pu propager la charge sans action de l’administrateur au-delà de l’activation.
- Le mécanisme de recréation impose un ordre de nettoyage : neutraliser d’abord le déclencheur (suppression complète du dossier de l’extension, de l’entrée en base, blocage des flux sortants), puis rechercher les autres artefacts. Désactiver l’extension ne suffit pas.
- Les empreintes de vérification de WordPress.org n’existent pas pour cette extension payante : la commande de vérification des extensions ne peut pas la contrôler, seule une comparaison avec une copie propre de l’éditeur le permet.
- BleepingComputer a identifié un échantillon PHP partageant les mêmes marqueurs, capable d’exécuter des commandes et de voler des identifiants de services en nuage et des clés SSH ; son lien avec la distribution par l’extension n’est pas confirmé.
- Selon The Hacker News, c’est au moins le troisième cas en 2026 de canal de mise à jour d’extension WordPress payante distribuant des versions piégées, sans lien établi entre ces affaires.
Ce qu’on ne sait pas
- Le vecteur d’accès à l’infrastructure de distribution de l’éditeur, et si les mises à jour automatiques ont réellement livré la version piégée.
- Le nombre de sites ayant activé la version piégée, et les empreintes des paquets sains et piégés.
- L’objectif de l’attaquant (vol de secrets, revente d’accès, injection de contenu, rebond vers l’hébergement).
Détection : un canal de confiance comme angle mort
- Côté éditeur : le mode de détection n’est pas publié ; l’avis est paru le soir de la fermeture de la fenêtre.
- Pourquoi c’est difficile à voir côté client : source légitime, numéro de version identique à une version saine, absence d’empreintes publiques pour une extension payante, persistance multiple et recréation automatique.
- Signaux exploitables : comptes administrateurs inconnus, fichiers PHP dans les téléversements ou les extensions « must-use », fichier inconnu signalé par la vérification d’empreintes du cœur WordPress, tâches planifiées nouvelles (WordPress et crontab), clés SSH ajoutées, règles de serveur web modifiées, connexions sortantes du serveur web vers des domaines récents ou inconnus. L’éditeur fournit des indicateurs précis dans son avis ; Wordfence rappelle que leur absence ne prouve pas qu’un site est sain.
Questions d’audit ISO 27001:2022
- A.5.19 et A.5.21 (sécurité dans les relations fournisseurs, sécurité de la chaîne d’approvisionnement TIC) : « Tenez-vous l’inventaire des extensions et composants de vos sites web, avec leur éditeur, leur canal de mise à jour (dépôt officiel ou infrastructure de l’éditeur) et le moyen par lequel vous seriez prévenus d’un incident chez cet éditeur ? »
- A.8.32 et A.8.19 (gestion des changements, installation de logiciels sur des systèmes en exploitation) : « Les mises à jour automatiques des extensions relèvent-elles d’une décision documentée ? Pour les composants critiques, existe-t-il un délai de prudence ou une recette avant production, et une trace de qui a installé quelle version et quand ? »
- A.8.13 (sauvegarde des informations) : « Pouvez-vous restaurer les fichiers et la base de données à un instant précis, avec une profondeur de plusieurs semaines ? Quand la dernière restauration complète a-t-elle été testée ? »
- A.5.17, A.8.15 et A.8.16 (informations d’authentification, journalisation, activités de surveillance) : « L’inventaire des secrets détenus par le site (base de données, clés et sels, paiement, SMTP, API, hébergement) existe-t-il, avec une procédure de renouvellement complet ? La création de comptes administrateurs, la modification de fichiers et les connexions sortantes du serveur web sont-elles journalisées et alertées ? »
Pistes de sensibilisation
- Pour les équipes web, agences et infogérants : atelier « Mettre à jour n’est pas nettoyer ». Sur un site de test, dérouler la séquence de reprise après compromission d’une extension : isoler, restaurer une sauvegarde datée, renouveler tous les secrets, vérifier, puis seulement réinstaller. Supports : fiche « Pourquoi et comment bien gérer ses mises à jour ? » et fiche sauvegardes de Cybermalveillance.gouv.fr.
- Pour les dirigeants : « Qui a les clés de notre site ? ». Dix minutes avec le prestataire web pour lister les extensions payantes, la profondeur réelle des sauvegardes et les secrets que le site détient.
À lire aussi : notre décryptage pour les dirigeants, « Extension WordPress piégée : quand la mise à jour officielle installe le pirate », et le bulletin de veille du 20 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.