IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Le CMS WordPress est désormais utilisé sur 39,5 % des sites web, seuls 38,4 % des sites Web n'utilisent pas un CMS
Selon les statistiques de W3Techs

Le , par Stéphane le calme

469PARTAGES

13  0 
WordPress est un système de gestion de contenu (SGC ou content management system (CMS) en anglais) gratuit, libre et open source. Ce logiciel écrit en PHP repose sur une base de données MySQL et est distribué par la fondation WordPress.org. Les fonctionnalités de WordPress lui permettent de créer et gérer différents types de sites Web : site vitrine, site de vente en ligne, site applicatif, blog, portfolio, site institutionnel, site d'enseignement, etc.

Le baromètre W3Techs indique que l'utilisation du CMS WordPress continue de croître : le CMS est désormais utilisé sur 39,5 % des sites web dans le monde à la date du 29 décembre 2020.

W3Techs explore les dix premiers millions de sites Web déterminés par le service de classification Alexa d'Amazon et cherche à déterminer les technologies qu'ils exploitent. Des rapports détaillés sont vendus sur ses découvertes. Mais W3Techs propose également des données publiques sur ses résultats. Ceux-ci sont généralement proposés sous la forme d'un diagramme qui vient montrer les pourcentages de sites Web utilisant divers systèmes de gestion de contenu.

Cette fois-ci, W3Techs a proposé des statistiques annuelles allant de 2011 à 2020.

Dès le départ, il est indiqué que le 29 décembre 2020, 38,4 % de sites n'utilisent pas de CMS. L'information est intéressante, car le 1er janvier de la même année, le pourcentage de sites n'utilisant pas de CMS était supérieur au pourcentage de sites utilisant WordPress (43,1 % et 35,4 % respectivement).


Shopify, qui était encore à la troisième place au début de l'année, est désormais en seconde position avec 3,2 % de parts d'utilisation. Joomla est descendu à la troisième place avec 2,2 % de parts d'utilisation. Drupal, quant à lui, a conservé sa quatrième position avec 1,5 % de part d'utilisation.

La rançon de la gloire

WordPress a été la cible d'attaques en 2020.

Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur plus de 400 000 sites Web

De graves vulnérabilités ont été découvertes par des chercheurs dans trois plugins WordPress à savoir InfiniteWP Client, WP Time Capsule et WP Database Reset. Pour les deux premiers, il s'agit d'un bogue permettant facilement à n'importe quel utilisateur d'accéder à un compte administrateur. Pour WP Database Reset, la faille autorise à tous les utilisateurs authentifier de réinitialiser toutes les tables de la base de données ou de bénéficier des privilèges administratifs.

Marc-Alexandre Montpas, chercheur chez Web Sucuri, explique dans un billet que « des vulnérabilités logiques comme celles observées dans cette récente divulgation peuvent entraîner de graves problèmes pour les applications et composants Web. Ces failles peuvent être exploitées pour contourner les contrôles d'authentification - et dans ce cas, se connecter à un compte administrateur sans mot de passe ».

Le 7 janvier, l'entreprise WebARX, spécialisée en cybersécurité a alerté Revmakx, le développeur de InfiniteWP Client et WP Time Capsule, sur la présence de failles critiques permettant à n'importe qui d'accéder à un compte administrateur sans aucune information d'identification. Ainsi, des malfaiteurs auraient pu supprimer du contenu, ajouter de nouveaux comptes et exécuter d'autres tâches malveillantes. D'ailleurs, le problème est très important au vu du nombre de sites utilisant les deux plugins : 300 000 pour InfiniteWP Client et 30 000 pour WP Time Capsule.

« Du fait de la nature de la vulnérabilité, le contournement de l'authentification est rendu possible grâce à une erreur logique dans le code [de WP Database Reset], qui ne produit pas de réaction suspecte des pare-feux. Il peut donc être difficile de trouver et de déterminer d'où viennent ces problèmes », reconnaît Revmakx.

Une campagne d'attaques massives cible 900 000 sites WordPress en une semaine

En mai, de nouvelles vulnérabilités dans Wordpress ont permis aux pirates informatiques de lancer une campagne d'attaques massives contre plus de 900 000 sites WordPress. Les auteurs des attaques cherchaient à rediriger les visiteurs vers des sites malveillants ou à installer une porte dérobée si un administrateur était connecté, d'après un rapport publié par la société de sécurité WordPress Defiant. Selon Defiant, son équipe de renseignements sur les menaces avait détecté, au cours du mois d'avril, plus de 24 000 adresses IP distinctes envoyant des requêtes correspondant à ces attaques.

D'après la charge utile, la majorité de ces attaques semblent être causées par un seul attaquant. C'est à partir du 28 avril 2020 que l'équipe de Defiant a observé une augmentation soudaine des attaques ciblant les vulnérabilités Cross-Site Scripting (XSS). Ces attaques ont continué à prendre de l'ampleur au cours des jours suivants pour atteindre plus de 20 millions d'attaques contre plus d'un demi-million de sites Web.

Dans son rapport, Ram Gall, responsable de l'assurance qualité chez Defiant, a déclaré que les attaquants se sont surtout concentrés sur l'exploitation des vulnérabilités XSS dans des plugins qui ont reçu une correction il y a des mois ou des années et qui avaient été visés par d'autres attaques. Cependant, après une enquête plus approfondie, Defiant a découvert que cet acteur de la menace s'attaquait également à d'autres vulnérabilités, principalement des vulnérabilités plus anciennes permettant de modifier l'URL d'origine d'un site vers le même domaine que celui utilisé dans la charge utile XSS afin de rediriger les visiteurs vers des sites malveillants.

Selon le rapport du fabricant du plugin de sécurité Wordfence, la majorité de ces attaques tentent d'insérer un JavaScript malveillant situé à l'adresse count[.]trackstatisticss[.]com/stm dans un site Web dans l'espoir qu'il sera exécuté par le navigateur d'un administrateur. Dans certains cas, ces tentatives incluent l'URL du script malveillant, tandis que dans d'autres, elles s'appuient sur String.fromCharCode pour masquer l'emplacement du script injecté. Selon Defiant, les premières itérations de ces attaques semblent avoir utilisé ws[.]stivenfernando[.]com/stm comme charge utile malveillante.

Si le JavaScript injecté est exécuté par le navigateur d'un administrateur qui est connecté, le code tente d'injecter une porte dérobée PHP dans le fichier d'en-tête du thème avec un autre JavaScript. La porte dérobée reçoit alors une autre charge utile et la stocke dans l'en-tête du thème pour tenter de l'exécuter à nouveau. « Cette méthode permettrait à l'attaquant de garder le contrôle du site », a expliqué Gall. « Si la cible n'est pas connectée, et n'est pas sur la page de connexion, le script est redirigé vers une URL malveillante », a-t-il ajouté.


Le script de vérification si la victime a des cookies de connexion WordPress

De cette façon, l'attaquant pourrait passer à une autre charge utile qui pourrait être un Webshell, un code qui crée un administrateur malveillant ou pour supprimer le contenu du site entier.

Les hackers exploitent une faille critique affectant plus de 350 000 sites WordPress

En septembre, des pirates ont exploité activement une vulnérabilité qui leur permettait d'exécuter des commandes et des scripts malveillants sur des sites web utilisant File Manager (gestionnaire de fichiers), un plugin WordPress avec plus de 700 000 installations actives, ont déclaré des chercheurs. L’annonce des attaques est arrivée quelques heures après que la faille de sécurité ait été corrigée.

Les attaquants ont utilisé cet exploit pour télécharger des fichiers contenant des webshells cachés dans une image. De là, ils disposaient d'une interface pratique qui leur permettait d'exécuter des commandes dans plugins/wp-file-manager/lib/files/, le répertoire où se trouve le plugin de File Manager. Bien que cette restriction empêche les pirates d'exécuter des commandes sur des fichiers en dehors du répertoire, les pirates peuvent être en mesure d'infliger des dommages plus importants en téléchargeant des scripts qui peuvent effectuer des actions sur d'autres parties d'un site vulnérable.

NinTechNet, une entreprise de Bangkok spécialisée dans la sécurité des sites web, a été l'une des premières à signaler les attaques en ligne. Selon sa publication, un pirate informatique exploitait la vulnérabilité pour télécharger un script intitulé hardfork.php et l'utilisait ensuite pour injecter du code dans les scripts WordPress /wp-admin/admin-ajax.php et /wp-includes/user.php.


Dans un courriel, Jérôme Bruandet, PDG de NinTechNet, a écrit : « Il est un peu trop tôt pour en connaître l'impact, car lorsque nous avons pris connaissance de l'attaque, les pirates informatiques essayaient simplement d'ouvrir des sites web par des moyens détournés. Cependant, une chose intéressante que nous avons remarquée est que les attaquants injectaient du code pour protéger par mot de passe l'accès au fichier vulnérable (connector.minimal.php) afin que d'autres groupes de pirates ne puissent pas exploiter la vulnérabilité sur les sites déjà infectés. Toutes les commandes peuvent être exécutées dans le dossier /lib/files (créer des dossiers, supprimer des fichiers, etc.), mais le plus important est qu'ils peuvent également télécharger des scripts PHP dans ce dossier, puis les exécuter et faire ce qu'ils veulent sur le blog ».

« Pour l'instant, ils téléchargent "FilesMan", un autre gestionnaire de fichiers souvent utilisé par les pirates. Celui-ci est très obscurci. Dans les prochaines heures et les prochains jours, nous verrons exactement ce qu'ils feront, car s'ils ont protégé le fichier vulnérable par un mot de passe pour empêcher d'autres pirates d'exploiter la vulnérabilité, il est probable qu'ils s'attendent à revenir visiter les sites infectés », poursuit-il.

Wordfence, une autre entreprise de sécurité de sites web, a déclaré dans un billet de blog avoir bloqué plus de 450 000 tentatives d'exploitation en quelques jours. Le billet indique que les attaquants ont tenté notamment de pénétrer dans différents fichiers probablement dans le but d'identifier des sites vulnérables et, en cas de succès, d'injecter un fichier malveillant par la suite. Dans certains cas, ces fichiers étaient vides. Les fichiers téléchargés portaient des noms tels que hardfork.php, hardfind.php et x.php.

« Un tel plugin de gestion de fichiers permettrait à un attaquant de manipuler ou de télécharger les fichiers de son choix directement à partir du tableau de bord de WordPress, ce qui lui permettrait d'augmenter ses privilèges une fois dans la zone d'administration du site », a écrit Chloe Chamberland, chercheur au sein de la société de sécurité Wordfence, dans un billet de blog. « Par exemple, un attaquant pourrait accéder à la zone d'administration du site en utilisant un mot de passe compromis, puis accéder à ce plugin et télécharger une coquille web pour faire une nouvelle énumération du serveur et éventuellement intensifier son attaque en utilisant un autre exploit », ajoute-t-elle.

Source : W3Techs

Et vous ?

Que pensez-vous des CMS en général et de WordPress en particulier ?
Quel est votre CMS préféré ?

Voir aussi :

Un fournisseur d'hébergement a divulgué 63 millions de documents, y compris les identifiants Magento et WordPress, une base de données non protégée est à l'origine de la fuite de données
Les hackers exploitent une faille critique affectant plus de 350 000 sites WordPress, la faille se trouve dans File Manager, un plugin de plus de 700 000 utilisateurs dont 52 % sont concernés
Matt Mullenweg déclare qu'Apple a bloqué les mises à jour de son application gratuite WordPress pour iOS jusqu'à ce qu'il y ajoute des achats intégrés afin qu'Apple perçoive sa commission de 30 %
Une campagne d'attaques massives cible 900 000 sites WordPress en une semaine, la redirection des visiteurs vers des sites malveillants et l'installation de portes dérobées PHP ont été découvertes
Une vulnérabilité critique dans un plugin WordPress met 200 000 sites Web en danger, car à tout moment ils peuvent être effacés ou détourner à distance par un attaquant

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de chrtophe
Responsable Systèmes https://www.developpez.com
Le 29/12/2020 à 16:22
Le fait que ce soit de l'interprété ne change rien, il suffit de voir le nombre de failles zeroday sur du compilé.

Pourquoi WordPress est vulnérable ? Essentiellement à cause des non mises à jour, et de l'utilisation de plugins codés à la va que je te pousse.
10  1 
Avatar de ok.Idriss
Rédacteur https://www.developpez.com
Le 23/01/2021 à 13:32
Citation Envoyé par shenron666 Voir le message
pourquoi "seuls" ? 38% c'est loin d'être négligeable, le terme seul est stupidement réducteur
Après on mélange aussi les choux et les salades... il serait intéressant d'avoir des stats sur les types de sites. Exemple:

  • les gros réseaux sociaux
  • les outils web de travaux collaboratifs (du jira au gitlab en passant par github, trello, etc)
  • les plateformes de streamings youtube, netflix & cie
  • les grosses plateformes d'ecommerce : alibaba, amazon, etc


Parmi ces sites qui "pèsent", combien utilisent vraiment des CMS (en dehors d'une éventuelle landing / home page réalisée par des équipes marketing) ?

Est-ce que dans ce pourcentage on fait pas compter le blog de monsieur tout le monde avec facebook ou netflix au même niveau par exemple ?

Si oui ça n'a encore une fois aucun intérêt si ce n'est faire faussement croire à la disparition des sites webs développés sur mesure : les marchés et les besoins sont juste différents...
4  0 
Avatar de chrtophe
Responsable Systèmes https://www.developpez.com
Le 02/01/2021 à 9:00
Je préfère le framework Django avec Python pour mes Sites Web.
Bref, je me trompe peut-être, mais pour moi les CMS c'est bien pour faire de l'abattage, mais pas pour offrir un service au top aux clients.
Un CMS n'est pas un Framework, ça n'a pas la même utilité.

Un CMS s'est plutôt fait pour ne pas faire de développement, bien que dans le cas d'un CMS comme WordPress on puisse développer son propre plugin. C'est adapté si le client final veut modifier lui-même le contenu ou pour un site vitrine.
3  0 
Avatar de arnofly
Membre averti https://www.developpez.com
Le 02/01/2021 à 13:07
Citation Envoyé par chrtophe Voir le message
Un CMS n'est pas un Framework, ça n'a pas la même utilité.

Un CMS s'est plutôt fait pour ne pas faire de développement, bien que dans le cas d'un CMS comme WordPress on puisse développer son propre plugin.
Je suis d'accord avec toi, mais la frontière est devenue un peu floue avec le temps. Dans les skills demandées dans les annonces ou mises en avant sur des CV, j'ai vu à plusieurs reprises le terme de "Développeur WordPress". C'est aussi une façon pour ceux qui ne bossent qu'avec ça d'annoncer la couleur, je pense.

Citation Envoyé par chrtophe Voir le message
C'est adapté si le client final veut modifier lui-même le contenu ou pour un site vitrine.
Mes clients peuvent modifier une partie du contenu de leur site et je n'utilise pas de CMS. Un CMS, c'est bien pour livrer un site web rapidement et pour certains sans avoir les compétences d'un développeur. Il m'arrive de conseiller WordPress à un contact qui semble être à l'aise avec l'outil informatique et qui n'a pas un budget suffisant pour passer par un pro. Pour un site vitrinee, un CMS est overkill et n'a aucun intérêt pour quelqu'un qui sait coder, à moins de vouloir faire de l'abattage (et ignorer les contraintes et inconvénients que ça entraine), comme je le disais dans mon précédant message. Bref, moi je place les CMS entre Wix et consorts (bas de gamme à pas cher) et le développement "sur mesure" que je qualifierais de "haut de gamme", même si c'est pas toujours le cas malheureusement. Comme dit un pote, WordPress, c'est un peu le fast food du web.
2  0 
Avatar de chrtophe
Responsable Systèmes https://www.developpez.com
Le 02/01/2021 à 16:06
Un CMS, c'est bien pour livrer un site web rapidement
et qui n'a pas un budget suffisant
Ca répond à beaucoup de critères, et à environ 40% des besoins, vu l'usage de WordPress dans le monde.

Les demandes pour les sites Web standards sont les mêmes, si les CMS y répondent, inutile de réinventer la roue ou de compliquer les choses en passant par un frameWork, sous réserve de la fiabilité de celui-ci.

Comme je le disais, la plus grande vulnérabilité de WordPress se situe au niveau de plugins non fiables ou non mis à jour, problème que l'on pourra retrouver avec l'usage d'un framework., voire avec une situation pire l'usage de plusieurs frameworks pour un même projet, multipliant les risques.

Bref, moi je place les CMS entre Wix et consorts (bas de gamme à pas cher) et le développement "sur mesure" que je qualifierais de "haut de gamme"
J'aime bien l'image.
2  0 
Avatar de shenron666
Expert confirmé https://www.developpez.com
Le 11/01/2021 à 13:28
Citation Envoyé par Stéphane le calme Voir le message
seuls 38,4 % des sites Web n'utilisent pas un CMS,
pourquoi "seuls" ? 38% c'est loin d'être négligeable, le terme seul est stupidement réducteur
2  0 
Avatar de archqt
Membre expérimenté https://www.developpez.com
Le 30/12/2020 à 22:05
Le fait que ce soit de l'interprété ne change rien, il suffit de voir le nombre de failles zeroday sur du compilé.

Pourquoi WordPress est vulnérable ? Essentiellement à cause des non mises à jour, et de l'utilisation de plugins codés à la va que je te pousse.
Quand on lit l'article on se rend compte quand même de l'injection de code via d'autre fichiers php. Donc certes il y a des failles dans les plugings mais cela ne pourrait pas se faire avec un site web compilé, on ne pourrait pas injecter de fichiers de script. Il y aurait d'autres failles, certes,
comme des "zeroday" mais c'est aussi le cas avec le php, en pire.
1  0 
Avatar de valtena
Membre confirmé https://www.developpez.com
Le 31/12/2020 à 8:49
Citation Envoyé par archqt Voir le message
Quand on lit l'article on se rend compte quand même de l'injection de code via d'autre fichiers php. Donc certes il y a des failles dans les plugings mais cela ne pourrait pas se faire avec un site web compilé, on ne pourrait pas injecter de fichiers de script. Il y aurait d'autres failles, certes,
comme des "zeroday" mais c'est aussi le cas avec le php, en pire.
Pourquoi ne pourrait-on pas injecter du code dans du compilé ? A partir du moment où tu as un accès en écriture, il suffit de remplacer un fichier compiler. Cela rajoute des étapes, dont certaines compliquées (notamment la compréhension du code décompilé si le code source n'est pas open source). Je ne pense pas que ce soit suffisant à arrêter les hackeurs pour un marché si juteux.
0  0 
Avatar de Maltide
Membre à l'essai https://www.developpez.com
Le 01/01/2021 à 8:14
Je préfère le framework Django avec Python pour mes Sites Web.
0  0 
Avatar de arnofly
Membre averti https://www.developpez.com
Le 02/01/2021 à 0:39
Je suis quand même un peu surpris d'un tel engouement pour les CMS.

Pour en avoir installé plusieurs récemment histoire de faire de la veille et "m'inspirer" pour concevoir mon nouveau backend, je peux comprendre que WordPress soit le plus populaire de tous, mais ça ne me donne toujours pas envie de coder mes sites avec. En tant que développeur web, je n'ambitionne pas de passer mon temps à mettre à jour ces clicodromes... Le gain de temps pour livrer un site est sûrement important par rapport à l'utilisation d'un framework maison, mais dans le temps avec toutes les mises à jours pour combler les failles de sécurité, celles qui vont péter le design, l'insatisfaction client d'un site HS... Bref, je me trompe peut-être, mais pour moi les CMS c'est bien pour faire de l'abattage, mais pas pour offrir un service au top aux clients. Concernant les Wix et autres merdes du genre, inutile de s'étendre.
0  0