Les attaques contre les modules d'extension Elementor Pro et Ultimate mettent les sites WordPress en danger

Mise à jour : Elementor Pro a publié la version 2.9.4 pour corriger la vulnérabilité en date du 7 mai 2020. Le fabricant du plugin Ultimate Addons -Brainstorm Force- a également publié la version corrigée, la version 1.24.2. Si tu utilises Elementor Pro ou le plugin Ultimate Addons, merci de mettre à jour cette version immédiatement.

Les attaques contre les sites WordPress utilisant Elementor Pro et les Ultimate Addons for Elementor sont le résultat de vulnérabilités dans ces deux plugins. Si tu utilises ces plugins, tu dois alors prendre des mesures immédiates pour protéger ton site contre le piratage. Si tu ne l'as pas encore fait, assure-toi de faire ce qui suit :

• Sauvegarde ton site
• Mets à jour tes plugins Elementor et Ultimate Addons à la dernière version.
• Mets à jour ton logiciel de sécurité (si tu utilises une application) - vérifie auprès du développeur de ton plugin qu'il a bien réglé ce problème.

Quelles sont les vulnérabilités exploitées ?

Elementor Pro (version 2.9.3 ou inférieure) présente une vulnérabilité zero-day qui rend l'application exploitable si les utilisateurs sont paramétrés pour ouvrir l'enregistrement.

Une vulnérabilité de type " zero day " est une faille dans le logiciel qui a des effets immédiats sur l'application.

Les Ultimate Addons for Elementor (version 1.24.1 ou inférieure) de Brainstorm Force présente une faille qui permet d'exploiter la vulnérabilité d'Elementor Pro même si les utilisateurs ne sont pas paramétrés pour ouvrir l'enregistrement.

À la date de cet article, les deux plugins ont été mis à jour pour corriger la vulnérabilité. Mets immédiatement à jour tes plugins pour éviter tout piratage éventuel de ton site à partir de ces vulnérabilités. Note que cet exploit n'affecte pas la version gratuite d'Elementor.

Que peux-tu faire maintenant ?

Il existe un certain nombre de mesures que tu peux prendre si tu soupçonnes que ton site a été piraté. La sauvegarde est une mesure préventive qui doit être mise en place lorsque tu sais que ton code n'a pas été compromis. Cependant, c'est toujours la mesure numéro un qui devrait faire partie de tout plan d'intervention d'urgence pour ton site Web. Si, pour une raison quelconque, tu ne peux pas appliquer immédiatement le correctif :

• Rétrograde vers une version antérieure des plugins
• Sauvegarde ta version actuelle (n'écrase pas les sauvegardes existantes), puis restaure une version antérieure de ton site si tu en as une. Tu devrais tout de même mettre à jour tes plugins dès que possible
• Vérifie tes utilisateurs WordPress pour t'assurer que tu n'as pas d'utilisateurs inconnus qui ont été ajoutés par le biais de l'exploit.
• Consulte une agence de sécurité comme Sucuri ou WordFence pour t'aider à nettoyer ton site.

Nous espérons que cela contribuera à attirer ton attention sur ce problème de sécurité si tu es un utilisateur d'Elementor Pro. Si tu veux en savoir plus sur WordPress sur des sujets tels que les plugins recommandés, alors consulte notre chaîneWordPress Education.