Avec le changement d'administration vient un nouveau site Web et après que Joe Biden ait prêté serment mercredi 20 janvier, le tout nouveau site de la Maison Blanche Whitehouse.gov a fait ses débuts. L'administration précédente est passée de Drupal à WordPress en 2017, et les technologues travaillant avec l'administration Biden ont décidé de s'en tenir au même CMS.Conformément aux fonctionnalités multilingues et d'accessibilité mises en œuvre sur le site Web de l'équipe de transition Biden-Harris, whitehouse.gov a été lancé avec des boutons pour le contraste et la taille de la police, ainsi qu'un sélecteur de langue espagnole. Le site relancé comprend également une déclaration d'accessibilité avec un engagement de l'administration à travailler pour se conformer aux critères d'accessibilité du contenu Web (WCAG) version 2.1, niveau AA.
Une grande partie du contenu et de la conception du site Web de transition a été préservée. Le site de transition est maintenant redirigé vers whitehouse.gov, tandis que les liens vers les pages de l’ancienne administration aboutissent sur une page 404 avec un lien vers des sites Web présidentiels archivés.
Les observateurs avertis peuvent remarquer que la typographie a été mise à jour à partir du site de transition, inversant les polices Mercury et Decimal. Hoefler & Co, la société de conception de polices qui a créé ces polices pour la campagne 2020 de Biden, a tweeté sur le fait que « l'empattement Mercury ressemblait davantage à la voix de l'institution ». Le sans-serif Decimal fonctionne plus dans un rôle de support sur le site.
Certains professionnels du Web ont remarqué que le site affichait des scores assez décents sur Lighthouse, un outil open source et automatisé pour mesurer la qualité des pages Web. Il peut être exécuté sur n'importe quelle page Web, publique ou nécessitant une authentification. Google Lighthouse vérifie les performances, l'accessibilité et l'optimisation des moteurs de recherche des pages Web.
Sous le capot, les curieux ont remarqué dans le code une publicité pour le US Digital Service (USDS), le groupe de technologues qui gère de nombreux services numériques publics du gouvernement fédéral.
En plus du message de l'USDS, le code source du site comprend un lien vers le programme d'analyse du gouvernement américain sur analytics.usa.gov. Tim Lowden, qui gère l’initiative d’analyse Web agrégée du gouvernement fédéral, a déclaré que ces données étaient disponibles pour la première fois depuis la fin de 2017.
Le service d'analyse enregistre chaque mois plus de 2,5 milliards de pages vues sur les sites Web du gouvernement fédéral. Les données sont accessibles au public, mais elles ne suivent pas les individus et anonymisent les adresses IP des visiteurs. Le service d'analyse affiche des informations sur les appareils, les navigateurs, les systèmes d'exploitation et l'emplacement des visiteurs, répartis en villes et pays. Beaucoup de ceux qui visitent le site aujourd'hui viennent de pays autres que les États-Unis.
Une utilisation de WordPress qui explose
Fin décembre 2020, le baromètre W3Techs a indiqué que l'utilisation du CMS WordPress continuait de croître : le CMS était utilisé sur 39,5 % des sites web dans le monde à la date du 29 décembre 2020.
W3Techs explore les dix premiers millions de sites Web déterminés par le service de classification Alexa d'Amazon et cherche à déterminer les technologies qu'ils exploitent. Des rapports détaillés sont vendus sur ses découvertes. Mais W3Techs propose également des données publiques sur ses résultats. Ceux-ci sont généralement proposés sous la forme d'un diagramme qui vient montrer les pourcentages de sites Web utilisant divers systèmes de gestion de contenu.
Cette fois-ci, W3Techs a proposé des statistiques annuelles allant de 2011 à 2020.
Dès le départ, il est indiqué que le 29 décembre 2020, 38,4 % de sites n'utilisent pas de CMS. L'information est intéressante, car le 1er janvier de la même année, le pourcentage de sites n'utilisant pas de CMS était supérieur au pourcentage de sites utilisant WordPress (43,1 % et 35,4 % respectivement).
Shopify, qui était encore à la troisième place au début de 2020, s'est placée en seconde position avec 3,2 % de parts d'utilisation. Joomla est descendu à la troisième place avec 2,2 % de parts d'utilisation. Drupal, quant à lui, a conservé sa quatrième position avec 1,5 % de part d'utilisation.
La rançon de la gloire
WordPress a été la cible d'attaques en 2020.
Les hackers exploitent une faille critique affectant plus de 350 000 sites WordPress
En septembre, des pirates ont exploité activement une vulnérabilité qui leur permettait d'exécuter des commandes et des scripts malveillants sur des sites web utilisant File Manager (gestionnaire de fichiers), un plugin WordPress avec plus de 700 000 installations actives, ont déclaré des chercheurs. L’annonce des attaques est arrivée quelques heures après que la faille de sécurité ait été corrigée.
Les attaquants ont utilisé cet exploit pour télécharger des fichiers contenant des webshells cachés dans une image. De là, ils disposaient d'une interface pratique qui leur permettait d'exécuter des commandes dans plugins/wp-file-manager/lib/files/, le répertoire où se trouve le plugin de File Manager. Bien que cette restriction empêche les pirates d'exécuter des commandes sur des fichiers en dehors du répertoire, les pirates peuvent être en mesure d'infliger des dommages plus importants en téléchargeant des scripts qui peuvent effectuer des actions sur d'autres parties d'un site vulnérable.
NinTechNet, une entreprise de Bangkok spécialisée dans la sécurité des sites web, a été l'une des premières à signaler les attaques en ligne. Selon sa publication, un pirate informatique exploitait la vulnérabilité pour télécharger un script intitulé hardfork.php et l'utilisait ensuite pour injecter du code dans les scripts WordPress /wp-admin/admin-ajax.php et /wp-includes/user.php.
Dans un courriel, Jérôme Bruandet, PDG de NinTechNet, a écrit : « Il est un peu trop tôt pour en connaître l'impact, car lorsque nous avons pris connaissance de l'attaque, les pirates informatiques essayaient simplement d'ouvrir des sites web par des moyens détournés. Cependant, une chose intéressante que nous avons remarquée est que les attaquants injectaient du code pour protéger par mot de passe l'accès au fichier vulnérable (connector.minimal.php) afin que d'autres groupes de pirates ne puissent pas exploiter la vulnérabilité sur les sites déjà infectés. Toutes les commandes peuvent être exécutées dans le dossier /lib/files (créer des dossiers, supprimer des fichiers, etc.), mais le plus important est qu'ils peuvent également télécharger des scripts PHP dans ce dossier, puis les exécuter et faire ce qu'ils veulent sur le blog ».
« Pour l'instant, ils téléchargent "FilesMan", un autre gestionnaire de fichiers souvent utilisé par les pirates. Celui-ci est très obscurci. Dans les prochaines heures et les prochains jours, nous verrons exactement ce qu'ils feront, car s'ils ont protégé le fichier vulnérable par un mot de passe pour empêcher d'autres pirates d'exploiter la vulnérabilité, il est probable qu'ils s'attendent à revenir visiter les sites infectés », poursuit-il.
Wordfence, une autre entreprise de sécurité de sites web, a déclaré dans un billet de blog avoir bloqué plus de 450 000 tentatives d'exploitation en quelques jours. Le billet indique que les attaquants ont tenté notamment de pénétrer dans différents fichiers probablement dans le but d'identifier des sites vulnérables et, en cas de succès, d'injecter un fichier malveillant par la suite. Dans certains cas, ces fichiers étaient vides. Les fichiers téléchargés portaient des noms tels que hardfork.php, hardfind.php et x.php.
« Un tel plugin de gestion de fichiers permettrait à un attaquant de manipuler ou de télécharger les fichiers de son choix directement à partir du tableau de bord de WordPress, ce qui lui permettrait d'augmenter ses privilèges une fois dans la zone d'administration du site », a écrit Chloe Chamberland, chercheur au sein de la société de sécurité Wordfence, dans un billet de blog. « Par exemple, un attaquant pourrait accéder à la zone d'administration du site en utilisant un mot de passe compromis, puis accéder à ce plugin et télécharger une coquille web pour faire une nouvelle énumération du serveur et éventuellement intensifier son attaque en utilisant un autre exploit », ajoute-t-elle.
Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur plus de 400 000 sites Web
De graves vulnérabilités ont été découvertes par des chercheurs dans trois plugins WordPress à savoir InfiniteWP Client, WP Time Capsule et WP Database Reset. Pour les deux premiers, il s'agit d'un bogue permettant facilement à n'importe quel utilisateur d'accéder à un compte administrateur. Pour WP Database Reset, la faille autorise à tous les utilisateurs authentifier de réinitialiser toutes les tables de la base de données ou de bénéficier des privilèges administratifs.
Marc-Alexandre Montpas, chercheur chez Web Sucuri, explique dans un billet que « des vulnérabilités logiques comme celles observées dans cette récente divulgation peuvent entraîner de graves problèmes pour les applications et composants Web. Ces failles peuvent être exploitées pour contourner les contrôles d'authentification - et dans ce cas, se connecter à un compte administrateur sans mot de passe ».
Le 7 janvier, l'entreprise WebARX, spécialisée en cybersécurité a alerté Revmakx, le développeur de InfiniteWP Client et WP Time Capsule, sur la présence de failles critiques permettant à n'importe qui d'accéder à un compte administrateur sans aucune information d'identification. Ainsi, des malfaiteurs auraient pu supprimer du contenu, ajouter de nouveaux comptes et exécuter d'autres tâches malveillantes. D'ailleurs, le problème est très important au vu du nombre de sites utilisant les deux plugins : 300 000 pour InfiniteWP Client et 30 000 pour WP Time Capsule.
« Du fait de la nature de la vulnérabilité, le contournement de l'authentification est rendu possible grâce à une erreur logique dans le code [de WP Database Reset], qui ne produit pas de réaction suspecte des pare-feux. Il peut donc être difficile de trouver et de déterminer d'où viennent ces problèmes », reconnaît Revmakx.
Sources : score sur Google Lighthouse du site de la Maison Blanche, statistiques sur les visites, W3Techs
Et vous ?
Que pensez-vous du choix de WordPress pour le site de la Maison Blanche ? Que pensez-vous du choix de rendre publiques les statistiques sur les visites ? 
Envoyé par kmedghaith
