Un malware WordPress désigne tout code malveillant installé dans les fichiers du site (thème, plugin, fichiers cœur modifiés) ou directement dans la base de données, sans que le propriétaire du site l’ait volontairement ajouté. Contrairement à une attaque en cours, un malware reste souvent silencieux une fois installé : il attend d’être activé ou fonctionne en arrière-plan sans perturber l’apparence du site.
Les formes de malware les plus courantes sur WordPress
- Backdoor : un point d’accès caché qui permet à l’attaquant de revenir même après un changement de mot de passe
- Injecteur de spam SEO : insertion de liens ou de pages invisibles pour détourner le référencement du site à des fins commerciales
- Redirecteur malveillant : renvoie les visiteurs vers un site tiers, parfois uniquement pour certains visiteurs (ex. venant de Google) pour rester discret
- Cryptominer : utilise les ressources serveur pour miner de la cryptomonnaie à l’insu du propriétaire
- Voleur d’identifiants : capture les mots de passe saisis dans l’administration ou les formulaires de paiement
Comment un malware s’installe sur WordPress
Les points d’entrée les plus fréquents restent un plugin obsolète non corrigé, un thème ou plugin nulled déjà compromis à l’installation, ou un mot de passe administrateur faible exploité par force brute. Une fois un accès obtenu, l’attaquant dépose généralement plusieurs fichiers malveillants à des emplacements différents pour survivre à un nettoyage partiel.
Comment protéger votre site contre le malware
- Scanner régulièrement les fichiers et la base de données plutôt qu’une seule fois à l’installation
- Comparer l’intégrité des fichiers cœur WordPress à leur version officielle pour détecter une modification suspecte
- Supprimer les plugins et thèmes inutilisés, qui restent des points d’entrée même sans être activés
- Conserver des sauvegardes propres et datées, condition indispensable pour restaurer un site sainement après une infection
