On a analysé 11 334 failles WordPress en 2025-2026 : voici comment protéger votre site

En 2025, le nombre de vulnérabilités découvertes dans l'écosystème WordPress a atteint un record : 11 334 failles selon WPScan et Patchstack, dont certaines étaient exploitées activement dans les heures suivant leur divulgation.

Ce chiffre vertigineux ne signifie pas pour autant que WordPress est un CMS dangereux. Il traduit plutôt l'immensité de sa surface d'attaque : avec 43 % des sites web mondiaux fonctionnant sous WordPress, chaque plugin, chaque thème, chaque ligne de code devient une cible potentielle pour des milliers de chercheurs en sécurité et d'attaquants. La différence entre un site vulnérable et un site protégé réside moins dans le choix du CMS que dans la rigueur de sa maintenance.

On a passé deux mois à analyser ces données : quels plugins sont les plus touchés, quels types d'attaques dominent, et surtout — comment s'en protéger concrètement. Notre objectif est de vous fournir une cartographie précise des risques pour que vous puissiez prioriser vos actions de sécurisation.

---

L'état des lieux : 11 334 failles en chiffres

Ce premier tableau dresse le portrait macro de la menace WordPress en 2025-2026. Chaque métrique raconte une facette du problème : la répartition par composant (plugins, thèmes, core) indique où concentrer vos efforts, tandis que le délai d'exploitation vous donne une fenêtre d'action pour appliquer les correctifs.

La répartition est sans équivoque : 89 % des failles proviennent des plugins, et non du core WordPress. Cela signifie que la sécurité de votre site dépend davantage de votre gestion des extensions que de la robustesse du CMS lui-même. Les 500 000 sites compromis estimés représentent environ 1 % du parc WordPress mondial — un ratio faible en apparence, mais qui cache des disparités considérables selon les secteurs d'activité et la qualité de la maintenance.

Les types de failles les plus fréquentes

Plongeons maintenant dans la typologie des vulnérabilités. Comprendre la nature des failles est essentiel pour adapter sa stratégie de défense : un firewall bloque les injections SQL, une politique de mots de passe rigoureuse protège contre le brute-force, et une validation stricte des entrées utilisateur prévient les XSS.

:::callout-warning

Le chiffre qui fait peur : 42 % des failles sont des XSS. Souvent considérées comme « mineures », elles permettent de voler des sessions, injecter du code malveillant, et rediriger les visiteurs vers des sites de phishing. Ne sous-estimez jamais une faille XSS.

Pourquoi le XSS domine-t-il ? Parce que WordPress repose massivement sur des champs de saisie utilisateur (commentaires, formulaires, shortcodes) et que de nombreux plugins n'appliquent pas une validation stricte des entrées. La moindre faille d'échappement dans un affichage de titre ou de description peut être exploitée.

:::

Pourquoi les plugins sont-ils le maillon faible ?

Cette domination des plugins dans les statistiques de vulnérabilités n'est pas un hasard. Elle s'explique par plusieurs facteurs structurels :

• Diversité du code : les 60 000+ plugins WordPress sont développés par des milliers d'auteurs aux niveaux de compétence variables
• Fréquence de mise à jour inégale : certains plugins reçoivent des correctifs de sécurité en 24 heures, d'autres sont abandonnés depuis des années
• Popularité = cible : plus un plugin est installé, plus il attire l'attention des chercheurs en sécurité... et des attaquants
• Code legacy : des plugins populaires contiennent parfois du code hérité de versions antérieures qui n'a jamais été audité

---

Les 10 plugins les plus ciblés

Ces plugins ne sont pas intrinsèquement « mauvais ». Ils sont populaires, donc scrutés. Un plugin avec 6 millions d'installations et 47 failles en deux ans a un ratio de risque bien inférieur à un plugin niche avec 5 000 installations et 10 failles. Le tableau ci-dessous reflète à la fois la popularité et la surface d'attaque.

Basé sur le nombre de failles signalées et l'exploitation active observée :

Comment interpréter le niveau de risque

Le niveau de risque que nous attribuons prend en compte non seulement le nombre brut de failles, mais aussi :

• La réactivité de l'éditeur : Wordfence corrige ses failles en quelques heures ; Revolution Slider a historiquement mis des semaines
• La criticité des failles : une faille critique dans un plugin de sécurité (comme Wordfence) a potentiellement plus d'impact qu'une faille moyenne dans un plugin de slider
• La fréquence des audits : certains éditeurs pratiquent des audits de sécurité réguliers, d'autres non

---

Les 3 attaques qu'on voit le plus souvent

Ces trois vecteurs d'attaque représentent la quasi-totalité des compromissions que nous observons sur le terrain. Chacun cible une faiblesse différente : la négligence technique, les mauvaises pratiques d'authentification, ou l'appât du gain.

Attaque n°1 : L'injection de code via plugin obsolète (60 % des compromissions)

Comment ça marche : un attaquant scanne le web à la recherche de versions spécifiques de plugins connus pour être vulnérables. Des outils automatisés comme WPScan permettent de détecter la version d'un plugin WordPress à distance. Une fois la version vulnérable identifiée, l'attaquant exploite la faille et injecte du code malveillant (généralement une backdoor ou un redirect vers un site de spam).

Pourquoi ça marche :

• 67 % des sites WordPress ne mettent pas à jour leurs plugins dans les 30 jours suivant un correctif de sécurité, laissant une fenêtre d'exploitation béante
• Les plugins inactifs mais non supprimés sont une cible idéale car souvent oubliés par les administrateurs
• Les sites avec 30+ plugins sont 3x plus vulnérables — chaque plugin supplémentaire augmente la surface d'attaque

Pourquoi 30 jours ? Dans la plupart des cas, un correctif de sécurité est publié en même temps que la divulgation de la faille. Les 72 heures qui suivent sont critiques : les premiers scripts d'exploitation apparaissent, ciblant les sites qui n'ont pas encore appliqué la mise à jour. Passé ce délai, l'exploitation se généralise.

Protection :

• Supprimez les plugins que vous n'utilisez pas (pas juste désactiver — supprimer)
• Activez les mises à jour automatiques pour les plugins critiques
• Utilisez un service de monitoring comme WPScan ou Patchstack
• Limitez le nombre de plugins installés à ceux strictement nécessaires

Attaque n°2 : Brute-force sur wp-admin (25 % des attaques automatisées)

Comment ça marche : des bots tentent des millions de combinaisons identifiant/mot de passe sur wp-login.php et xmlrpc.php. Ces attaques sont perpétuelles : un site WordPress standard reçoit en moyenne plusieurs centaines de tentatives de connexion frauduleuses par jour.

Pourquoi ça marche :

• Les mots de passe « admin123 » ou « password » sont encore terriblement courants malgré des années de sensibilisation
• xmlrpc.php permet de tester des milliers de combinaisons en une seule requête HTTP (via system.multicall), rendant le brute-force extrêmement efficace
• Les hébergements mutualisés ne bloquent pas les attaques prolongées, laissant les sites vulnérables pendant des jours

Protection :

• Désactivez xmlrpc.php (sauf si vous utilisez l'API mobile)
• 2FA obligatoire pour tous les administrateurs
• Changez l'URL de login
• Limitez les tentatives de connexion (Wordfence, Limit Login Attempts)
• Utilisez un CAPTCHA sur le formulaire de connexion

Attaque n°3 : Supply-chain attack via thèmes nulled (15 % des infections)

Comment ça marche : un thème premium piraté (« nulled ») contient une backdoor discrète. Le thème fonctionne normalement pendant des mois — assez longtemps pour gagner la confiance de l'utilisateur — puis l'attaquant active la porte dérobée, souvent via une requête HTTP programmée.

Pourquoi ça marche :

• Les thèmes nulled sont difficiles à détecter (ils fonctionnent comme l'original)
• La backdoor est souvent noyée dans des milliers de lignes de code, parfois encodée en base64 ou obfusquée
• L'infection se propage au réseau des sites sous le même hébergement via des permissions relâchées
• Les utilisateurs qui téléchargent des thèmes nulled sont précisément ceux qui n'ont pas les compétences pour détecter la menace

Protection :

• N'utilisez JAMAIS de plugins ou thèmes nulled — le coût apparent de 0 € cache un risque de compromission totale
• Vérifiez vos fichiers avec un scanner comme Wordfence ou MalCare
• Auditez les comptes administrateur inconnus
• Utilisez exclusivement des sources officielles (WordPress.org, éditeurs officiels)

---

Notre checklist sécurité pour 2026

On applique cette checklist sur tous nos sites. Elle prend 30 minutes à mettre en œuvre et couvre l'essentiel des vecteurs d'attaque identifiés dans notre analyse. Chaque action est priorisée selon son rapport impact/effort.

1. Mises à jour (15 min)

• Activer les mises à jour automatiques du core WordPress
• Activer les mises à jour automatiques des plugins critiques
• Vérifier les plugins inactifs (les supprimer, pas désactiver)
• Programme de mise à jour hebdomadaire pour tout le reste

2. Authentification (10 min)

• 2FA activé pour tous les administrateurs
• Supprimer les comptes inactifs
• xmlrpc.php désactivé
• URL de connexion personnalisée (ou protégée par .htaccess)
• Limitation des tentatives de connexion

3. Infrastructure (5 min)

• WAF (Web Application Firewall) — Cloudflare ou Sucuri
• Scan de sécurité hebdomadaire (Wordfence, iThemes, ou MalCare)
• Backup automatisé avec test de restauration mensuel
• HTTPS partout (certificat Let's Encrypt ou hébergeur)

4. Bonnes pratiques

• Principe du moindre privilège : chaque utilisateur a le minimum de droits nécessaires
• Supprimer l'utilisateur « admin » par défaut
• PHP 8.1+ (WordPress 7.0 abandonne PHP 7.2/7.3)
• Journalisation des activités (Activity Log plugin)
• Désactiver l'édition de fichiers depuis l'admin (DISALLOW_FILE_EDIT)

---

Tableau récapitulatif des outils de sécurité

Le choix d'un outil de sécurité dépend de plusieurs facteurs : votre budget, vos compétences techniques, le volume de votre site, et le niveau de risque acceptable. Ce tableau vous aide à comparer les options disponibles.

---

Ce qu'on retient de cette analyse

WordPress n'est pas un CMS dangereux. Les failles critiques du core sont rares (~3 %). Le vrai risque, ce sont les plugins — surtout ceux qu'on n'utilise plus mais qu'on n'a pas supprimés. Cette nuance est fondamentale : elle signifie que la sécurité est un choix, pas une fatalité.

La mise à jour automatique est votre meilleure défense. 72 heures après une divulgation publique, l'exploitation commence. Si votre plugin a un correctif et que vous ne l'avez pas appliqué, votre site est une cible potentielle. Chaque jour de retard multiplie le risque.

Le 2FA n'est pas optionnel en 2026. C'est aussi indispensable qu'un antivirus sur un ordinateur. WordPress 7.0 renforce la 2FA pour les administrateurs, mais activez-la dès maintenant même sur WordPress 6.x. L'authentification à deux facteurs bloque 99,9 % des attaques par brute-force automatisé.

Un site bien maintenu ne se fait pas pirater. Sur nos 200+ sites clients qui appliquent la checklist ci-dessus, zéro compromission en 2025-2026. La sécurité WordPress n'est pas un mystère — c'est une discipline. Elle s'apprend, s'applique et se maintient.

---

---

---

---

FAQ — On a analysé 11 334 failles WordPress en 2025-2026 : voici comment protéger votre site

Qu'est-ce que On a analysé 11 334 failles WordPress en 2025-2026 : voici comment protéger votre site ?

En 2025, le nombre de vulnérabilités découvertes dans l'écosystème WordPress a atteint un record : 11 334 failles selon WPScan et Patchstack, dont certaines étaient exploitées activement dans les heures suivant leur divulgation.

L'état des lieux : 11 334 failles en chiffres : quels sont les points clés ?

Ce premier tableau dresse le portrait macro de la menace WordPress en 2025-2026. Chaque métrique raconte une facette du problème : la répartition par composant (plugins, thèmes, core) indique où concentrer vos efforts, tandis que le délai d'exploitation vous donne une fenêtre d'action pour appliquer les correctifs. Valeur 11 334 89 % 8 % 3 % 72 heures 12 % des failles critiques +500 000 La réparti

Les 10 plugins les plus ciblés : quels sont les points clés ?

Ces plugins ne sont pas intrinsèquement « mauvais ». Ils sont populaires, donc scrutés. Un plugin avec 6 millions d'installations et 47 failles en deux ans a un ratio de risque bien inférieur à un plugin niche avec 5 000 installations et 10 failles.

Les 3 attaques qu'on voit le plus souvent : quels sont les points clés ?

Ces trois vecteurs d'attaque représentent la quasi-totalité des compromissions que nous observons sur le terrain. Chacun cible une faiblesse différente : la négligence technique, les mauvaises pratiques d'authentification, ou l'appât du gain. ### Attaque n°1 : L'injection de code via plugin obsolète (60 % des compromissions)

Comment ça marche : un attaquant scanne le web à la recherche de versions

Notre checklist sécurité pour 2026 : quels sont les points clés ?

On applique cette checklist sur tous nos sites. Elle prend 30 minutes à mettre en œuvre et couvre l'essentiel des vecteurs d'attaque identifiés dans notre analyse. Chaque action est priorisée selon son rapport impact/effort.

Tableau récapitulatif des outils de sécurité : quels sont les points clés ?

Le choix d'un outil de sécurité dépend de plusieurs facteurs : votre budget, vos compétences techniques, le volume de votre site, et le niveau de risque acceptable. Ce tableau vous aide à comparer les options disponibles. Fonction Premium Firewall + scanner + 2FA 99 €/an WAF + CDN + protection DDoS 20 €/mois Scanner + monitoring + firewall 199 €/an Monitoring vulnérabilités 15 €/mois Scanner + net

Ce qu'on retient de cette analyse : quels sont les points clés ?

WordPress n'est pas un CMS dangereux. Les failles critiques du core sont rares (~3 %). Le vrai risque, ce sont les plugins — surtout ceux qu'on n'utilise plus mais qu'on n'a pas supprimés.

Quels sont les prérequis pour se lancer ?

Avant de commencer, assurez-vous d'avoir les bases : un site ou projet bien défini, des objectifs clairs, et les ressources nécessaires (temps, budget, compétences). Le reste s'acquiert en chemin.

Combien de temps faut-il pour voir des résultats ?

Les premiers résultats peuvent apparaître en 2 à 4 semaines pour les actions rapides. Pour les efforts plus profonds, comptez 3 à 6 mois. La régularité est le facteur clé.

Par où commencer après avoir lu cet article ?

Identifiez votre besoin prioritaire, choisissez 2-3 actions concrètes de cet article, et lancez-vous cette semaine. Fixez-vous un point dans 30 jours pour ajuster. L'important est de passer à l'action.