Vous utilisez l'extension « The Plus Addons for Elementor » sur votre site WordPress ? Une faille critique (CVE-2021-24175, score 9,8/10) permet à un inconnu, sans aucun mot de passe, de se créer un compte administrateur sur votre site, autrement dit, d'en prendre le contrôle complet. L'ANSSI a confirmé que la faille est activement exploitée. Si ce plugin est installé chez vous, c'est à traiter aujourd'hui. Appelez le 06 14 87 10 94 : je vérifie votre site et j'interviens à distance, partout en France.
Cette alerte a été publiée par le CERT Santé (cyberveille.esante.gouv.fr) le 29 septembre 2022. Elle concerne un plugin très répandu dans l'écosystème Elementor, le constructeur de pages le plus utilisé sous WordPress. Voici ce qu'elle veut dire concrètement, comment savoir si vous êtes touché, et quoi faire.
De quelle faille parle-t-on ?
« The Plus Addons for Elementor » (identifiant technique theplus_elementor_addon) ajoute des dizaines de modules à Elementor, dont des blocs de connexion et d'inscription d'utilisateurs. C'est précisément là que se situe le problème.
- Nature de la faille : une authentification défaillante (classée CWE-287). Le module d'inscription ne vérifie pas correctement qui demande quoi.
- Conséquence : un attaquant distant et non authentifié, c'est-à-dire n'importe qui sur Internet, sans identifiants, peut créer un compte administrateur illégitime sur votre site.
- Gravité : score CVSS 9,8 sur 10, soit « critique ». C'est l'un des pires scénarios possibles pour un site WordPress.
- Versions concernées : toutes les versions jusqu'à la 4.1.5 incluse.
- Exploitation : l'alerte précise que la faille est activement exploitée. Des robots scannent le web en continu à la recherche des sites qui l'utilisent.
Pourquoi c'est aussi grave
Un compte administrateur WordPress, c'est les clés de tout : le contenu, les fichiers, la base de données, les comptes des autres utilisateurs. Une fois ce compte créé, l'attaquant peut faire absolument ce qu'il veut, et le plus souvent sans que rien ne soit visible pour vous :
- installer une porte dérobée pour revenir quand il veut, même après une mise à jour ;
- injecter des redirections vers des sites douteux, visibles seulement depuis Google ou sur mobile ;
- publier des pages de spam qui détournent votre référencement ;
- transformer votre hébergement en relais d'e-mails frauduleux ;
- remplacer votre page d'accueil (défacement) ou voler des données.
Le fait que la faille ne demande aucun mot de passe et soit exploitée par des robots est ce qui la rend particulièrement dangereuse : ce n'est pas une attaque ciblée contre vous, c'est un ratissage automatique. Si votre site est exposé, ce n'est qu'une question de temps.
Suis-je concerné ? Comment vérifier
Trois vérifications, dans l'ordre :
- Le plugin est-il installé ? Dans votre tableau de bord WordPress, allez dans Extensions et cherchez « The Plus Addons for Elementor ». S'il n'y est pas, vous n'êtes pas concerné par cette faille précise.
- Quelle version ? Si la version installée est inférieure ou égale à 4.1.5, vous êtes vulnérable. Une version plus récente corrige le défaut.
- Y a-t-il déjà un compte administrateur suspect ? Dans Comptes (ou Utilisateurs), vérifiez la liste des administrateurs. Tout compte que vous n'avez pas créé vous-même est le signe que la faille a déjà été exploitée.
Que faire tout de suite
- Mettez le plugin à jour vers la dernière version disponible : l'éditeur a publié des versions qui corrigent le défaut.
- Si vous ne pouvez pas mettre à jour immédiatement, désactivez le plugin. C'est la recommandation officielle de l'alerte ANSSI, et c'est la seule parade sûre tant que la mise à jour n'est pas appliquée.
- Auditez vos comptes administrateurs et supprimez tout compte inconnu. Changez ensuite les mots de passe des comptes légitimes (administration, FTP/SFTP, base de données, hébergeur).
- Si vous trouvez un compte frauduleux, considérez le site comme compromis : supprimer le compte ne suffit pas, l'attaquant a presque toujours déposé une porte dérobée ailleurs. Il faut un nettoyage complet.
Un point important : mettre à jour le plugin referme la porte, mais ne nettoie pas ce qui a pu être installé pendant qu'elle était ouverte. Si votre site a été touché, la mise à jour seule le laisse infecté.
Si votre site a déjà été piraté via cette faille
Compte admin inconnu, redirections, alerte Google, pages étranges dans les résultats de recherche : les signes d'une exploitation réussie sont ceux de n'importe quel piratage. La marche à suivre et la désinfection complète sont décrites ici : site WordPress piraté, que faire en urgence. Si vous préférez ne pas y toucher, je prends le dépannage d'un site piraté en charge de bout en bout, diagnostic, suppression du malware et des portes dérobées, correction de la faille, remise en ligne et levée de l'alerte Google.
Cette faille n'est pas un cas isolé : j'ai documenté un autre exemple de faille WordPress exploitée de la même façon, par un robot, quelques heures après sa publication, ainsi qu'une faille critique récente touchant le cœur même de PHP (PHP2Shell), qui concerne tous les sites PHP, pas seulement WordPress.
Comment éviter ce type d'incident
La cause numéro un des sites WordPress piratés, tous cas confondus, c'est une extension vulnérable non mise à jour. Les failles sont publiées, puis exploitées très vite, parfois le jour même. Ce qui protège réellement n'a rien de spectaculaire : des mises à jour appliquées rapidement, une surveillance des alertes de sécurité, des sauvegardes automatiques testées et des accès propres. C'est exactement ce que couvre un contrat d'infogérance : votre site est tenu à jour et surveillé, et vous n'avez pas à guetter vous-même chaque bulletin de l'ANSSI. C'est aussi très largement moins cher qu'un dépannage d'urgence.
Questions fréquentes
Qu'est-ce que la faille CVE-2021-24175 ?
C'est une vulnérabilité critique (score 9,8/10) du plugin WordPress « The Plus Addons for Elementor », dans ses versions jusqu'à 4.1.5. Elle permet à un attaquant distant et non authentifié de créer un compte administrateur sur le site, et donc d'en prendre le contrôle complet. Elle est activement exploitée.
Comment savoir si mon site est touché ?
Vérifiez dans vos extensions si « The Plus Addons for Elementor » est installé, et en version inférieure ou égale à 4.1.5. Vérifiez ensuite la liste de vos comptes administrateurs : un compte que vous n'avez pas créé indique que la faille a déjà été exploitée.
Faut-il supprimer le plugin ?
Mettez-le d'abord à jour vers la dernière version, qui corrige la faille. Si la mise à jour n'est pas possible tout de suite, désactivez-le : c'est la recommandation officielle en attendant le correctif. Vous pourrez le réactiver une fois à jour.
Mon site peut-il être piraté sans que je m'en aperçoive ?
Oui, c'est même le cas le plus fréquent. L'attaquant a intérêt à rester discret : redirections visibles seulement depuis Google, pages de spam cachées, porte dérobée dormante. Un compte administrateur inconnu dans votre liste d'utilisateurs est souvent le seul indice visible.
J'ai mis le plugin à jour, est-ce suffisant ?
La mise à jour referme la porte, mais ne nettoie pas ce qui a pu être installé pendant qu'elle était ouverte. Si un compte frauduleux existait, ou si vous constatez le moindre signe d'infection, il faut un nettoyage complet du site, pas seulement la mise à jour.
Je n'utilise pas Elementor, suis-je concerné ?
Non, cette faille précise ne concerne que le plugin « The Plus Addons for Elementor ». Mais le principe vaut pour toutes les extensions : une seule extension vulnérable non mise à jour suffit à ouvrir un site. La veille et les mises à jour régulières restent la meilleure protection.
Ce plugin est installé sur votre site et vous n'êtes pas sûr de la version, ou vous voyez un compte admin que vous ne reconnaissez pas ? N'attendez pas. 06 14 87 10 94 ou décrivez-moi votre situation, je vérifie, je sécurise, et si le site a été touché, je le nettoie. Diagnostic offert. (Tous les tarifs : voir la grille.)