Un plugin abandonné est une extension WordPress dont l’auteur a cessé toute maintenance, parfois depuis plusieurs années, sans annonce officielle d’arrêt. Contrairement à un plugin obsolète qui dispose d’une mise à jour disponible mais non installée, un plugin abandonné ne recevra plus jamais de correctif, quelle que soit la gravité d’une faille découverte à l’avenir.
Comment repérer un plugin abandonné
- La page du plugin sur WordPress.org affiche un avertissement « non testé depuis plus de 2 versions majeures de WordPress » ou une mention explicite d’abandon
- Aucune mise à jour publiée depuis plusieurs années dans l’historique des versions
- Le support (forum du plugin) ne reçoit plus de réponse de l’auteur depuis longtemps
Pourquoi c’est plus risqué qu’un simple retard de mise à jour
Une faille découverte sur un plugin activement maintenu est généralement corrigée en quelques jours ou semaines. Sur un plugin abandonné, la fenêtre d’exposition ne se referme jamais : la vulnérabilité reste exploitable indéfiniment, tant que le plugin reste actif sur le site.
Que faire face à un plugin abandonné
- Chercher une alternative activement maintenue offrant une fonctionnalité équivalente
- Vérifier s’il existe un fork repris par un autre développeur, parfois publié sous un nouveau nom
- Désinstaller le plugin si sa fonctionnalité n’est plus utilisée, plutôt que de le laisser inactif sur le serveur
- Scanner régulièrement les plugins installés pour repérer une éventuelle faille découverte après coup sur un composant qu’on ne pensait plus surveiller
