Pendant onze heures, les 15 et 16 octobre 2026, l’extension payante Rank Math PRO, utilisée pour améliorer le référencement des sites WordPress, a été distribuée avec un logiciel malveillant depuis le site même de son éditeur. Les sites qui l’ont activée doivent être considérés comme compromis, même après la mise à jour corrective. Une leçon simple pour les PME : une mise à jour remplace un fichier, elle ne nettoie pas un site.
Ce qui s’est passé
Rank Math aide les sites WordPress à mieux apparaître dans les moteurs de recherche. Sa version gratuite, installée sur plus de 4 millions de sites, vient du catalogue officiel de WordPress. Sa version payante, PRO, se télécharge et se met à jour directement depuis le site de l’éditeur.
C’est ce canal qui a été piégé. Selon l’avis publié par Rank Math le 16 octobre, les copies de la version 3.0.123 récupérées entre le 15 octobre à 22 h 02 (heure de Paris) et le 16 octobre à 9 h 12 contenaient un logiciel malveillant (Rank Math, 16 octobre 2026). L’éditeur a retiré ces fichiers et publié une version propre, la 3.0.124. Piège supplémentaire : le numéro de version ne suffit pas, car une 3.0.123 téléchargée avant la fenêtre est saine (The Hacker News, 19 octobre 2026).
Comment l’attaque a fonctionné
Les victimes n’ont commis aucune erreur : elles ont simplement installé ou mis à jour une extension depuis son site officiel, puis l’ont activée. Le code caché s’installait alors à plusieurs endroits du site, pouvait créer des comptes administrateurs et ajouter des tâches automatiques, et savait se réinstaller à chaque visite du site.
Il pouvait aussi lire tout ce que le site connaît : le mot de passe de la base de données, les clés de paiement en ligne ou d’envoi d’e-mails, les accès à l’hébergement. L’éditeur demande donc de considérer tous ces secrets comme exposés (BleepingComputer, 19 octobre 2026).
C’est pourquoi passer à la version 3.0.124 ne suffit pas. La reprise recommandée est de restaurer une sauvegarde antérieure au 15 octobre, de changer tous les mots de passe et clés, puis seulement de réinstaller l’extension propre.
Ce qu’on ne sait pas encore
- Comment les fichiers piégés sont entrés dans le système de distribution de l’éditeur.
- Combien de sites les ont reçus et activés : l’éditeur parle d’un nombre limité, sans chiffre.
- Qui est derrière et quel était le but final : aucune revendication, aucune analyse complète publiée.
Selon The Hacker News, c’est au moins la troisième fois cette année que le canal de mise à jour d’une extension WordPress payante distribue une version piégée.
Ce que ça change pour une PME
Votre site vitrine ou votre boutique en ligne tourne peut-être sous WordPress, souvent géré par une agence ou un indépendant.
- Faites la liste des extensions payantes de votre site et demandez d’où viennent leurs mises à jour. Si vous utilisez Rank Math PRO, vérifiez avec votre prestataire la date de la dernière mise à jour.
- Exigez des sauvegardes datées du site et de sa base, sur plusieurs semaines, et un test de restauration. La fiche sauvegardes de Cybermalveillance.gouv.fr donne les bonnes pratiques.
- Notez quelque part tous les secrets que connaît votre site (base de données, paiement, e-mails, hébergement), pour pouvoir les changer vite en cas de problème.
- Gardez les mises à jour, elles restent indispensables, mais pour les extensions critiques, demandez s’il est possible d’attendre quelques jours ou de tester avant la mise en ligne (fiche mises à jour de Cybermalveillance.gouv.fr).
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste des extensions de notre site, avec leur éditeur et la manière dont elles se mettent à jour ?
- À partir de quelle date précise pourrions-nous remettre le site en état, et quand l’avons-nous vérifié pour la dernière fois ?
- Savons-nous quels mots de passe et clés notre site détient, et qui peut tous les changer en une journée ?
- Qui est prévenu si un nouveau compte administrateur apparaît sur notre site ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Sites web et données clients
Cet article prolonge notre bulletin de veille du 20 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.