Nettoyer et récupérer WordPress après une intrusion

Retrouver tout ce qu'un attaquant a ajouté ou modifié est difficile. Remplacer le cœur réduit le risque, mais ne garantit pas un nettoyage complet : il faut aussi examiner wp-content, wp-config.php, les utilisateurs, les tâches planifiées et la base de données.

1. Préserver les preuves et créer une copie actuelle

Mettez le site en maintenance et évitez toute nouvelle écriture. Avant de nettoyer, enregistrez une copie complète de l'état compromis, y compris les fichiers, la base de données et les journaux, sur un stockage isolé. Calculez et conservez leurs sommes de contrôle ; cette copie sert à l'enquête et ne doit pas être restaurée comme si elle était propre.

Créez en plus un point de restauration actuel et vérifiez qu'il peut être restauré dans un emplacement temporaire. Notez la version de WordPress, les extensions, les thèmes, les utilisateurs et les tâches planifiées.

2. Comparer avant de remplacer

Depuis la racine exacte de WordPress, exécutez :

wp core version
wp core verify-checksums --include-root

Examinez chaque différence. --include-root peut signaler des fichiers personnalisés légitimes à la racine ; ne les supprimez pas sans les avoir identifiés. Inspectez et conservez séparément wp-config.php, .htaccess, les fichiers de vérification des moteurs de recherche et tout fichier qui vous est propre. Examinez tout wp-content, y compris les extensions, les thèmes, uploads, mu-plugins et les caches.

3. Remplacer le cœur de manière récupérable

Téléchargez depuis WordPress.org la même version propre que celle identifiée et vérifiez sa provenance. Au lieu de supprimer, conservez wp-admin et wp-includes dans une quarantaine datée, en dehors de tous les répertoires publics et sans possibilité d'exécution web. Placez leurs copies propres et remplacez uniquement les fichiers du cœur confirmés par les sommes de contrôle. Les renommer à l'intérieur du site ne les isole pas.

Ne remplacez pas wp-content ou wp-config.php et ne les considérez pas automatiquement comme sains : ils contiennent des personnalisations et peuvent aussi abriter la persistance de l'attaque. Réinstallez les extensions et les thèmes depuis des sources officielles ou des copies connues, et examinez les fichiers personnalisés avant de les récupérer.

Exécutez de nouveau :

wp core verify-checksums --include-root

Vérifiez le site public, wp-admin, les journaux PHP, les utilisateurs administrateurs, les tâches cron, les options actives et le contenu de la base de données avant de rouvrir.

4. Révoquer les accès

Changez les mots de passe des administrateurs WordPress, régénérez les salts pour fermer leurs sessions et révoquez les clés ou jetons exposés. Changez toujours le mot de passe de la base de données utilisée par WordPress et mettez à jour wp-config.php, car une intrusion avec lecture de fichiers a pu l'exposer. Changez aussi les accès cPanel, SFTP/SSH et e-mail lorsqu'ils sont liés au point d'entrée, ont été réutilisés ou ont pu être lus par l'attaquant. Mettez à jour le cœur, les extensions et les thèmes vers des versions maintenues et corrigez le point d'entrée avant de lever la maintenance.

Retour en arrière

Si le remplacement casse le site, gardez l'accès fermé, remettez en place les répertoires depuis la quarantaine et restaurez la base ou les fichiers depuis le point de restauration vérifié. Ne republiez pas l'état compromis : le retour en arrière sert à poursuivre la récupération dans un environnement fermé pendant que vous préparez un nouveau nettoyage maîtrisé.

Limites des sommes de contrôle et de WP-CLI

Une comparaison du cœur n'examine pas toute la base de données et ne garantit pas que les extensions, les thèmes ou les fichiers extérieurs au cœur sont sûrs. Tenez compte de la version et de la langue exactes pour interpréter les différences légitimes. Conservez aussi les fichiers cachés, mu-plugins et les configurations susceptibles de charger du code avant l'application.

Évitez d'exécuter des commandes qui chargent l'installation compromise tant que vous ne travaillez pas dans un environnement confiné. Ne supposez pas que désactiver les extensions normales empêche le chargement de toute persistance. Notez chaque remplacement et conservez une copie des preuves en dehors du site public.

Si vous préférez que nous nous en chargions

Si votre WordPress est chez un autre hébergeur, lorsque vous souscrivez n'importe quelle offre, nous le transférons et appliquons gratuitement cette procédure avant de le publier chez nous. Découvrez ce que cela comprend sur la page de sauvetage des sites piratés.