WordPress propulse 43,6 % des sites web mondiaux, et cette domination en fait la cible de choix des attaquants. En 2025, pas moins de 11 334 nouvelles failles de sécurité ont été recensées dans l’écosystème WordPress, soit une hausse de 42 % en un an selon le rapport Patchstack 2026. 13 000 sites sont piratés chaque jour dans le monde. Des chiffres qui changent radicalement la façon d’aborder la sécurité d’un site.
Des failles qui s’exploitent en quelques heures, pas en quelques jours
Le rapport Patchstack 2026 révèle un chiffre particulièrement frappant : la médiane d’exploitation des failles les plus ciblées est de 5 heures après leur divulgation publique. Autrement dit, attendre le week-end pour appliquer une mise à jour critique, c’est statistiquement trop tard. 45 % des failles sont exploitées en moins de 24 heures, et 70 % en moins de 7 jours.
Ce qui rend la situation plus préoccupante encore : 91 % des vulnérabilités se trouvent dans les plugins, 9 % dans les thèmes, et seulement 6 dans le cœur de WordPress lui-même. C’est l’environnement que les webmasters construisent autour de WordPress qui ouvre la porte aux attaquants, pas WordPress en lui-même. Parmi les 11 334 failles recensées, 1 966 sont classées haute sévérité — une hausse de 113 % par rapport à 2024 — et 46 % n’avaient aucun patch disponible au moment de leur divulgation. Dès qu’une faille est connue publiquement, les scanners automatiques prennent le relais.
Côté malwares, le plus répandu en 2025 est Parrot TDS : il représente 64 % des injections détectées et redirige les visiteurs vers des pages de phishing tout en servant une page propre aux crawlers. Google ne voit rien. Vos utilisateurs, si. Le Japanese SEO spam, lui, hijacke le sitemap pour injecter des milliers de pages en japonais vendant des médicaments ou des contrefaçons — avec des effets dévastateurs sur le référencement. D’autres familles, comme Lock360, se réinstallent automatiquement après chaque nettoyage manuel : seule une restauration propre depuis une sauvegarde antérieure à l’infection permet de s’en débarrasser définitivement.
Comment reconnaître qu’un site a été compromis ?
Les signaux ne sont pas toujours évidents, surtout quand le malware est conçu pour rester invisible côté administrateur. Parmi les indicateurs les plus fréquents : des redirections automatiques vers des sites de spam (souvent invisibles pour l’admin connecté), l’apparition de contenu en japonais ou en chinois, une page d’accueil remplacée, ou des publicités inconnues qui surgissent sans que personne ne les ait installées.
Du côté technique, les signaux incluent l’impossibilité d’accéder au tableau de bord, un avertissement Google Safe Browsing dans le navigateur, une chute brutale de trafic (Google blackliste environ 20 000 sites contre les malwares chaque semaine), une action manuelle signalée dans la Search Console, ou des envois massifs d’e-mails remontés par l’hébergeur.
Face à ces situations, la première erreur à éviter est de tout supprimer ou d’éteindre le serveur : les preuves forensiques disparaissent, rendant impossible l’identification du vecteur d’entrée. La marche à suivre recommandée commence par activer le mode maintenance, changer immédiatement tous les mots de passe (WordPress admin, FTP, base de données, panneau d’hébergement) et régénérer les clés SALT dans le fichier wp-config.php. Restaurer une sauvegarde sans corriger la faille d’origine mène quasi systématiquement à un re-piratage dans les heures qui suivent. Pour les cas complexes ou lorsque l’origine de la compromission reste floue, faire appel à un prestataire spécialisé comme ilti permet d’obtenir un diagnostic et une remise en ligne rapide, pour un coût souvent bien inférieur à celui d’une interruption d’activité prolongée.
Le coût réel d’un piratage, au-delà de la technique
Un site blacklisté par Google pour malware peut mettre 6 à 12 mois à retrouver ses positions en recherche organique. Le downtime moyen après un hack est de 3,2 jours — et pour un site e-commerce, cela représente souvent plus que le budget annuel d’une stratégie de sécurité proactive. Selon les données IBM Cost of a Data Breach 2025, les coûts peuvent grimper jusqu’à 1,24 million de dollars pour une entreprise touchée par une fuite de données combinée à une compromission de sa chaîne de paiement.
Les TPE-PME françaises ne sont pas épargnées. Le baromètre Cybermalveillance.gouv.fr d’octobre 2025 révèle que 16 % des entreprises interrogées ont subi un incident au cours des 12 derniers mois, et que 80 % reconnaissent ne pas être préparées. Les freins sont connus : manque d’expertise (63 %), contraintes budgétaires (61 %), manque de temps (59 %). Pendant ce temps, les attaques, elles, ne prennent pas de pause.
La bonne nouvelle, si l’on peut dire, c’est que 96 % des piratages exploitent des vulnérabilités évitables : plugins non mis à jour, mots de passe trop faibles, configurations par défaut laissées en place. La sécurité d’un site WordPress n’est pas une fatalité, c’est avant tout une question de rigueur dans la durée.
