WordPress 4.2.3 : un patch à appliquer sans tarder

WordPress a récemment laissé apparaître une faille à la dangerosité notable et qu'il est par conséquent recommandé de patcher au plus vite, et ce à l'aide de la mise à jour 4.2.3 disponible depuis peu.

Après Internet Explorer, récemment ciblé par quatre failles de sécurité attendant d’être comblées, c’est au tour de WordPress de laisser apparaître une nouvelle brèche potentiellement exploitable à des fins malveillantes. Toutefois, à la différence du navigateur de Microsoft, une mise à jour disponible depuis peu (la 4.2.3) permet à WordPress de redevenir (à priori) totalement sécurisé.

La vulnérabilité en question est une faille XSS (cross-site scripting) qui, nous dit-on, “pourrait permettre à des utilisateurs avec le rôle de contributeur ou d’auteur de compromettre un site”. Peu d’informations ont été communiquées sur cette faille, même si l’on sait en outre qu’elle semble être présente sur toutes les versions de WordPress antérieures à la 4.2.3.

Faille de sécurité de WordPress : la mise à jour 4.2.3 disponible

Le site Next INpact nous apprend de plus qu’une autre brèche, qui autorisait pour sa part un souscripteur à créer un brouillon d’article, fait désormais elle aussi partie de l’histoire ancienne. Enfin, on nous signale que les corrections apportées concernaient une vingtaine de bugs. Pour télécharger la dernière version de WordPress, il suffit de se rendre à cette adresse, de cliquer sur la zone prévue à cet effet et de suivre les instructions affichées à l’écran. La mise à jour peut également être appliquée via son tableau de bord et après un éventuel rafraîchissement.

Une plate-forme souvent ciblée par les pirates

Une mise à jour qui intervient alors que la plate-forme WordPress subit régulièrement des attaques de pirates (hackers) d’ampleur plus ou moins grande. Il y a peu, on a ainsi pu observer à maintes reprises des situations de défacement (les opérations d’avril dernier avaient d’ailleurs été revendiquées par des terroristes se réclamant de l’État islamique, une version qui était toutefois apparue peu convaincante aux yeux du FBI). En fin d’année dernière, Google avait même placé sur sa liste noire 100 000 blogs WordPress infectés par un malware du nom de SoakSoak.