Patchstack a publié le 6 octobre 2026 une analyse d’une campagne visant deux plugins WordPress : WPC Product Bundles pour WooCommerce et Ninja Forms. Le script stocké dans une commande ou une soumission de formulaire peut s’exécuter lorsqu’un administrateur consulte ce contenu. Le risque pour un commerce ou une TPE ne se limite pas à l’affichage d’un formulaire : l’attaque peut laisser des accès persistants au site.
Deux plugins, une campagne observée
Les premières tentatives dans la télémétrie de Patchstack datent du 4 octobre pour WPC Product Bundles et du 5 octobre pour Ninja Forms. Les observations portent sur deux failles XSS stockées : le contenu malveillant est enregistré puis interprété dans le navigateur d’un administrateur.
BleepingComputer et iSec News relaient la campagne. Le volume de sites compromis n’est pas établi; les observations de Patchstack ne doivent pas devenir un bilan global de victimes.
La session administrateur devient le point d’appui
Le script utilise la session déjà ouverte dans WordPress pour installer un plugin et créer des accès. Dans l’analyse de Patchstack, il ne lui est pas nécessaire de voler le cookie pour effectuer ces actions.
Ce cas montre la limite d’une réponse centrée uniquement sur le mot de passe. Même une authentification robuste ne suffit pas à empêcher une action réalisée à travers une session légitime après l’exécution du script.
Appliquer les versions corrigées
Ninja Forms jusqu’à 3.15.3 est concerné par CVE-2026-94504; la correction décrite est en 3.15.4. Pour WPC Product Bundles jusqu’à 8.6.6, CVE-2026-93836 est corrigée en 8.6.7. Faites vérifier les deux plugins si le site les utilise.
Avant toute maintenance, coordonnez-vous avec votre prestataire pour préserver les informations utiles et prévoir le retour du formulaire ou du tunnel d’achat. Testez leur fonctionnement après l’installation des versions corrigées.
Vérifier les accès que l’attaque peut laisser
Le plugin malveillant décrit dans la campagne se présente comme wp-smart-thumbnails. L’analyse documente aussi un administrateur caché, des plugins obligatoires dans mu-plugins et une voie de connexion détournée. Un compte masqué peut ne pas apparaître dans la liste habituelle des utilisateurs.
Demandez une inspection des comptes réellement présents en base et des fichiers. Le tableau de bord seul ne prouve pas l’intégrité du site, et supprimer le plugin visible ne garantit pas le retrait de toutes les persistances.
Nettoyer avant de reprendre les accès
Si l’inspection révèle une compromission, faites traiter les fichiers, comptes et mécanismes de connexion ajoutés, puis les secrets privilégiés selon la procédure de réponse. Préservez les journaux avant un nettoyage qui ferait disparaître des preuves.
Le guide après un mot de passe piraté aide à préparer le renouvellement des accès. Un contrôle de votre gestion des mots de passe peut ensuite clarifier qui possède les comptes du site.
Le lien avec Soclyde
Soclyde permet de conserver des identifiants distincts dans un coffre chiffré sur vos appareils. Pour une boutique qui travaille avec un prestataire web, cette organisation aide à retrouver les accès nécessaires et à éviter un mot de passe partagé entre plusieurs services.
Soclyde ne corrige pas les plugins WordPress et ne retire pas les comptes cachés. Les vérifications et révocations se font dans WordPress et chez l’hébergeur. Découvrez les fonctionnalités de Soclyde pour organiser la gestion des secrets.
À retenir
Mettez à jour les plugins concernés et faites rechercher les traces de persistance si du contenu piégé a pu être ouvert. La version corrigée ferme la faille; elle ne constitue pas une preuve de nettoyage. La reprise doit associer contrôle des fichiers, des comptes et des accès privilégiés.
Notre guide après un mot de passe piraté vous aide à préparer le renouvellement des accès.
