Une mise à jour d’un plugin WordPress de confiance est devenue une voie potentielle de compromission de sites web après que des attaquants ont distribué des copies infectées par un logiciel malveillant de Rank Math PRO.
Rank Math indique que certaines copies de son plugin payant, la version 3.0.123, téléchargées ou mises à jour entre le 15 et le 16 octobre contenaient du code malveillant susceptible de compromettre des sites web lors de son activation.
L’entreprise affirme avoir supprimé les fichiers concernés et publié la version 3.0.124, mais une simple mise à jour pourrait ne pas supprimer les résidus de l’infection.
L’incident met en évidence un risque lié à la chaîne d’approvisionnement pour les organisations qui dépendent de logiciels tiers : même lorsque les administrateurs obtiennent un plugin depuis sa source officielle, ils peuvent tout de même être exposés si le processus de distribution du fournisseur est compromis.
Que s’est-il passé ?
Rank Math est un plugin WordPress populaire d’optimisation pour les moteurs de recherche (SEO) qui aide les propriétaires de sites web à améliorer leur visibilité dans les résultats de recherche.
BleepingComputer, citant WordPress stats, indique que le plugin gratuit compte plus de quatre millions d’installations actives, tandis que Rank Math PRO propose des fonctionnalités payantes. Toutefois, l’incident de sécurité récent a touché la version PRO. Rank Math n’a pas publié le nombre d’utilisateurs PRO concernés.
Dans un avis de sécurité, Rank Math a indiqué que certaines copies de Rank Math PRO version 3.0.123 contenaient un logiciel malveillant. Les copies concernées ont été téléchargées entre le 15 octobre à 20:02 UTC et le 16 octobre à 07:12 UTC, soit une période de 11 heures et 10 minutes. Rank Math a déclaré avoir supprimé les fichiers concernés et publié une version saine, la 3.0.124.
Le logiciel malveillant pouvait compromettre un site web si le plugin concerné était activé. Plus inquiétant encore, il pouvait recréer sa porte dérobée dissimulée chaque fois qu’une personne visitait un site web infecté. Ainsi, supprimer des fichiers malveillants individuels sans d’abord arrêter le mécanisme qui les restaure pourrait ne pas résoudre la compromission.
Rank Math a averti les propriétaires de sites web ayant activé une copie concernée qu’ils devaient partir du principe que les informations sensibles accessibles au serveur web pouvaient avoir été exposées.
Les informations exposées peuvent notamment inclure les mots de passe, les identifiants de base de données, les clés de sécurité et les sels stockés dans wp-config.php, les clés de passerelle et les identifiants SMTP. S’y ajoutent les clés d’API, les identifiants des panneaux de contrôle d’hébergement, les identifiants d’accès FTP, SFTP et SSH, ainsi que les secrets stockés dans les variables d’environnement.
Ce que cet incident signifie pour les organisations qui possèdent des sites web
Pour les organisations qui dépendent de leurs sites web pour attirer des clients, publier des informations ou mener leurs activités, la préoccupation immédiate est l’intégrité du site. Un plugin compromis peut également devenir un moyen d’obtenir un accès élargi au système.
Selon les fonctions du site web et ce à quoi les attaquants accèdent, cela pourrait perturber les opérations, exposer des informations sensibles ou saper la confiance des clients. Il s’agit de conséquences potentielles du logiciel malveillant signalé, et non de la confirmation que tous les sites web concernés les ont subies.
Le risque s’étend également au-delà du site web lui-même. Si les attaquants obtiennent des identifiants ou des clés d’API stockés sur le serveur, ils peuvent utiliser ces secrets pour accéder aux services connectés, selon les autorisations qui leur sont associées. Pour les entreprises, il est donc important d’évaluer non seulement le site web compromis, mais aussi les comptes et systèmes externes auxquels il peut accéder.
L’incident met également en évidence un risque complexe lié à la chaîne d’approvisionnement : même un logiciel distribué par les canaux officiels d’un fournisseur peut devenir une source de compromission.
Les administrateurs installent généralement les mises à jour pour corriger les problèmes et maintenir la sécurité de leurs sites web. Mais lorsqu’un canal de distribution de logiciels est compromis, une mise à jour peut au contraire introduire du code malveillant. Une fois ce code exécuté, l’installation d’une version saine pourrait ne pas supprimer les autres modifications qu’il a effectuées.
La leçon n’est pas de cesser de mettre à jour les plugins depuis le fournisseur officiel. Il faut associer des mises à jour rapides à des sauvegardes fiables, à une surveillance des modifications non autorisées, à une gestion rigoureuse des identifiants et à un processus de récupération qui tient compte d’une compromission pouvant aller au-delà du logiciel initial.
Voici ce que vous pouvez faire dès maintenant
Les organisations utilisant Rank Math PRO doivent d’abord déterminer si elles ont téléchargé ou mis à jour la version 3.0.123 pendant la période concernée.
Si c’est le cas et que vous avez activé le plugin concerné, Rank Math vous conseille de partir du principe que votre site web peut être compromis. L’entreprise recommande de restaurer les fichiers et la base de données de votre site web à partir d’une sauvegarde saine créée avant la période de l’incident. Si vous n’en avez pas, suivez ses instructions de nettoyage manuel. Une simple mise à jour du plugin ne suffit pas.
Pour les personnes ayant installé le plugin en dehors de cette période, ou l’ayant installé sans l’activer, l’entreprise n’a pas établi qu’elles étaient compromises. Rank Math conseille néanmoins aux utilisateurs de supprimer l’installation existante du plugin PRO et d’installer la version saine, la 3.0.124.
Les administrateurs qui ne savent pas quand le plugin a été téléchargé ou activé doivent consulter l’historique de leur installation et rechercher d’éventuelles modifications suspectes. Ils peuvent également contacter Rank Math à l’adresse support@rankmath.com pour obtenir de l’aide.
À lire aussi : Microsoft a confirmé que les mises à jour de sécurité d’octobre de Windows Server peuvent perturber les déploiements Exchange Server sur site, entraînant des retards dans la livraison des e-mails, des échecs de connexion au webmail et des problèmes de disponibilité des boîtes aux lettres.