Augmentation de 150 % des vulnérabilités constatées par rapport à 2020

Scripts intersites (XSS) très répandus

Les vulnérabilités de script intersite (XSS) ont une fois de plus été en tête des graphiques en 2021, représentant près de 50 % du total des vulnérabilités ajoutées à la base de données Patchstack en 2021. Par rapport à 2020 – les vulnérabilités XSS représentaient un peu plus de 36 %, en 2021, nous constatons une augmentation des vulnérabilités de script intersites.

En comparant 2020 et 2021, nous voyons que CSRF et SQLi ont changé de place. SQL Injection a compté 9,1 % des vulnérabilités en 2020 et Cross-Site Request Forgery est arrivé en troisième position avec 6,5 % des vulnérabilités en 2020.

CVSS (3.1) est un excellent moyen de calculer la gravité de la vulnérabilité et il est plus facile de montrer le niveau de risque posé par la vulnérabilité sans écrire une explication générale. C’est pourquoi nous essayons de calculer le score CVSS (3.1) pour toutes les vulnérabilités que nous publions sur la base de données.

Vous verrez un score CVSS avec chaque vulnérabilité enregistrée dans la base de données Patchstack. Dans la mesure du possible, nous essayons également d’ajouter un contexte spécifique à l’application. Par exemple : avec les composants WordPress, nous clarifions quels rôles d’utilisateur par défaut seraient nécessaires pour effectuer l’attaque, ce que CVSS ne couvre pas.

Ces informations apparaissent sous la forme d’une instruction telle que « Nécessite une authentification de l’abonné ou de l’utilisateur de rôle supérieur. » sur la page de description de la vulnérabilité.

Il est important de comprendre le contexte du risque de vulnérabilité. Sans cela, vous pourriez finir par stresser inutilement et effectuer des mises à jour d’urgence lorsque le risque n’est tout simplement pas présent, ou pire encore, ignorer ou retarder la résolution d’une vulnérabilité parce qu’elle semble « risque moyen » alors qu’en fait, vos sites Web sont exposés à un risque immédiat en fonction du contexte.

La criticité des vulnérabilités nouvellement signalées ajoutées à la base de données Patchstack en 2021 variait de Moyenne (3/4 de tous les rapports), en passant par Élevée (1/5 de tous les rapports) et Critique (près de 1/25 de tous les rapports) en 2021, avec très peu de rapports de faible gravité (près de 1/50).

Patchstack offre une protection pour les sites WordPress depuis des années. En regardant les utilisateurs de Patchstack, nous voyons des informations importantes sur la façon dont nos utilisateurs gèrent la sécurité.

En 2021, nous avons analysé environ 50 000 sites et examiné le nombre d’installations de plugins et de thèmes. Nous avons constaté qu’en moyenne, un seul site WordPress a 18 composants différents (plugins et thèmes) installés.

En le comparant à 2020 où nous avons constaté qu’un site web moyen avait 23 plugins et thèmes installés sur un seul site. Il montre une amélioration jusqu’à ce que nous comparions le nombre moyen de plugins et de thèmes obsolètes sur un site.

Typiquement, seules les vulnérabilités faciles à exploiter sont ciblées. Les vulnérabilités qui ont plus de conditions préalables à une exploitation réussie ne sont généralement pas utilisées dans les campagnes d’exploitation de masse.

Les vulnérabilités que nous voyons être armées dans les campagnes d’exploitation de masse ne nécessitent aucune authentification. Vous trouverez ci-dessous une liste des types de vulnérabilités qui sont les plus attrayants pour les attaquants.

Script intersite stocké non authentifié qui affecte le frontal

De telles vulnérabilités permettent d’injecter du HTML, ou dans de nombreux cas un fichier JavaScript d’un site malveillant tiers, qui redirigera les utilisateurs vers un autre site ou injectera des publicités.

Remontée de privilèges non authentifié

De telles vulnérabilités permettent de créer un compte administrateur en tant qu’invité. Après cela, un attaquant se connectera à ce compte administrateur et téléchargera un plugin malveillant qui lui permettra d’accéder au système de fichiers du site afin qu’il puisse plus facilement télécharger des portes dérobées et injecter des publicités.

Mise à jour des options non authentifiées

De telles vulnérabilités permettent d’activer les enregistrements et de définir le rôle par défaut sur administrateur. Il permet également de changer l’URL du site en autre chose afin que tous les visiteurs soient redirigés vers cette URL malveillante.

Exécution de code à distance non authentifiée

Être capable d’exécuter du code, tel que n’importe quel code PHP arbitraire, est également idéal pour un utilisateur malveillant. Ils peuvent télécharger une porte dérobée de cette façon pour accéder facilement au système de fichiers du site web.

Ces types de vulnérabilités, en particulier celles des plugins populaires, sont souvent exploités dans les heures qui suivent la divulgation de la vulnérabilité au public.

Lorsque vous regardez les statistiques des correctifs virtuels Patchstack pour voir quelles vulnérabilités ont été les plus activement ciblées, certaines vulnérabilités critiques qui remontent à des années sont toujours activement ciblées.

Cela peut s’expliquer par l’utilisation d' »outils de piratage » disponibles en ligne. De tels outils sont préprogrammés pour tenter tous les exploits et les vulnérabilités populaires contre une cible, et tout ce que le pirate a à faire est de sélectionner un site Web cible (ou une liste de cibles).

Vous trouverez ci-dessous une liste des principales vulnérabilités qui sont les plus attaquées quotidiennement.

OptinMonster <= 2.6.4

API REST non protégée à la divulgation d’informations sensibles et à l’accès non autorisé à l’API

Capacités de PublishPress <= 2,3

Paramètres non authentifiés Modifier la vulnérabilité

Booster pour plugin WooCommerce <= 5.4.3

Vulnérabilité de contournement de l’authentification

Plugin Image Hover Effects Ultimate <= 9.6.1

Mise à jour des options arbitraires non authentifiées

Si vous souhaitez vous impliquer ou si vous souhaitez soutenir l’initiative, veuillez nous contacter.

En savoir plus

À la fin de 2021, Patchstack a mené un sondage auprès des développeurs de sites Web, des propriétaires de sites Web et des agences numériques. Le but de l’enquête était de comprendre comment s’est passée l’année 2021 en ce qui concerne la sécurité de WordPress.

Économisez du temps et de l’argent en activant les mises à jour automatiques pour les plugins et les thèmes vulnérables avec Patchstack.

Voir toutes les caractéristiques

Lorsqu’ils ont demandé aux répondants à qui ils comptent pour obtenir de l’aide sur la sécurité du site Web, la majorité ont déclaré qu’ils traitent des problèmes de sécurité principalement par eux-mêmes, tout en comptant sur leur fournisseur d’hébergement ou sur l’équipe de support d’un plugin de sécurité.

Dans WordPress, les mises à jour de sécurité sont une tâche très importante de gestion des vulnérabilités. Nous avons demandé aux répondants à quelle fréquence ils mettaient à jour leurs plugins, thèmes et noyau WordPress. Environ 53 % des répondants ont déclaré mettre à jour leurs composants chaque semaine. 20 % des répondants ont déclaré effectuer des mises à jour quotidiennement et 18 % par mois. D’autres ont activé la mise à jour automatique ou n’ont aucune information parce qu’ils ne sont pas responsables des mises à jour.

L’écosystème WordPress dispose d’innombrables plugins et outils de sécurité parmi lesquels choisir. Certains des outils sont gratuits, d’autres coûtent jusqu’à des centaines par mois. Nous voulions savoir quelles sont les dépenses moyennes pour la sécurité des sites Web parmi les propriétaires de sites Web, les développeurs et les agences numériques.

D’après les données que nous avons recueillies, 28 % des répondants n’avaient aucun budget pour protéger leurs sites web. Environ 27 % des répondants ont déclaré que le budget de sécurité de leur site Web par site Web et par mois se situe entre 1 et 3 dollars.

Seulement environ 7 % des répondants ont déclaré que leur budget de sécurité de site Web est d’environ 50 $ par site et par mois et que la plupart de ces répondants provenaient d’agences numériques.

En examinant les coûts de la suppression des logiciels malveillants, nous avons vu que les répondants dépensent en moyenne 613 $ pour une suppression de logiciels malveillants WordPress. Le prix le plus élevé payé était de 4 800 $ et le plus bas de 50 $.

Le coût moyen de la sécurité des sites Web chez ceux qui ont fait pirater leurs sites Web en 2021 était d’environ 8 $ par site/par mois.

Le plus gros problème de sécurité WordPress demeure

Les vulnérabilités des plugins et des thèmes restent l’une des plus grandes menaces pour les sites web construits sur WordPress. En fait, 99,42 % des vulnérabilités de sécurité ont été trouvées dans les plugins et les thèmes WordPress, tandis que seulement 0,58 % des vulnérabilités de sécurité provenaient de WordPress Core.

Nous avons constaté une croissance de 150 % des vulnérabilités signalées en 2021 par rapport à 2020, ce qui est une augmentation significative. Pendant ce temps, 29% des plugins WordPress présentant des vulnérabilités critiques n’ont reçu aucun correctif.

En 2021, Patchstack a lancé une communauté de primes aux bogues pour les pirates éthiques (Patchstack Alliance) afin d’identifier et de corriger les vulnérabilités dans l’ensemble de l’écosystème WordPress. En 2021, environ 13 000 $ ont été versés à titre de primes. Des marques telles que Plesk, cPanel, Pagely et bien d’autres le soutiennent déjà. Soutenez le mouvement !

Sources

Original de l’article en Anglais : https://patchstack.com/whitepaper/the-state-of-wordpress-security-in-2021/

Nous solutions de maintenance WordPress à partir de 34€ ht/ mois