Qu'est-ce que le Virtual Patching dans WordPress ? Comment ça marche et pourquoi c'est important 

La plupart des sites WordPress piratés ont un point commun : un plugin obsolète.

Parfois, les mises à jour sont ignorées. Parfois, elles sont retardées volontairement pour éviter de casser quelque chose. Et parfois, elles sont tout simplement manquées, en particulier lorsqu'une personne gère plusieurs sites. Mais ce retard, même s'il n'est pas intentionnel, offre aux attaquants une fenêtre à exploiter.

En 2024, il y a eu 7 966 nouvelles vulnérabilités dans l'écosystème WordPress, soit une augmentation de 34 % par rapport à 2023. La majorité d'entre elles ont été découvertes dans des plugins, et non dans des fichiers centraux ou des thèmes. Et beaucoup d'entre elles n'avaient pas de correctif disponible lorsqu'elles ont été signalées pour la première fois.

Les correctifs virtuels constituent une couche de sécurité qui préserve la sécurité des sites dans des moments comme celui-ci, lorsque les mises à jour ne sont pas assez rapides ou n'existent pas encore.

Dans ce blog, nous discuterons des correctifs virtuels dans WordPress, pourquoi ils sont importants, comment ils fonctionnent, et quand les gestionnaires de sites devraient les utiliser.

Qu'est-ce que le Virtual Patching ?

La correction virtuelle est une méthode de sécurité qui bloque les exploits connus avant qu'ils n'atteignent le code vulnérable, sans apporter de modifications à l'application elle-même. Elle consiste à analyser les requêtes HTTP entrantes et à filtrer les schémas malveillants au niveau du réseau ou de l'application, généralement par l'intermédiaire d'un pare-feu d'application Web (WAF) ou d'un système de prévention des intrusions (IPS). L 'OWASP définit cette technique comme une "couche d'application de la politique de sécurité qui empêche l'exploitation d'une vulnérabilité connue".

En pratique, cela signifie que si un plugin présente une injection SQL connue ou une vulnérabilité de script intersite, un correctif virtuel peut intercepter et bloquer la signature exacte de la requête qui l'exploiterait. Ces correctifs sont rédigés sous forme de règles ciblées qui correspondent à des charges utiles spécifiques, contrairement aux filtres WAF génériques qui s'appuient souvent sur la détection de modèles plus larges. Comme ces règles sont spécifiques à une vulnérabilité, elles ont tendance à être plus précises et à générer moins de faux positifs.

Le correctif lui-même est déployé "en dehors" de l'application. Il peut s'agir d'un proxy inverse, d'un WAF basé sur le cloud ou d'un plugin qui injecte des filtres de niveau PHP avant le chargement complet de WordPress. Il est donc efficace même dans les situations de type "zero-day", où la vulnérabilité est exploitée dans la nature, mais où aucun correctif officiel n'a encore été publié. 

Dans ce cas, les entreprises de sécurité disposant de réseaux de renseignements sur les menaces peuvent diffuser un correctif virtuel en quelques heures, ce qui laisse aux développeurs plus de temps pour tester et appliquer les mises à jour en toute sécurité.

Pourquoi le correctif virtuel est-il plus efficace que la recherche de logiciels malveillants dans WordPress ?

Les scanners de logiciels malveillants détectent les problèmes une fois qu'ils se sont produits. Ils analysent les fichiers ou surveillent les comportements pour identifier les signes d'infection, mais ils n'empêchent pas l'exploitation initiale.

Les correctifs virtuels empêchent l'exécution de l'exploit en premier lieu.

Les scanners de logiciels malveillants peuvent manquer des menaces si les logiciels malveillants sont obscurcis ou conçus pour échapper à la détection. Ils consomment également des ressources serveur et peuvent produire des faux positifs, en particulier lorsqu'ils effectuent des analyses fréquentes.

Il ne faut pas négliger ce point : l'analyse répétée de chaque fichier à la recherche de logiciels malveillants signifie que le plugin lit tout ce qui se trouve sur votre site. Cela sollicite fortement l'unité centrale, la mémoire et le disque, en particulier sur un hébergement partagé, pour une valeur ajoutée très faible, à moins que vous ne sachiez que votre site web a été corrompu. Ceci est bien expliqué dans l'article Pourquoi tout ce que vous savez à propos de votre scanner de malwares WordPress est faux. 

Les correctifs virtuels ne reposent pas sur des modifications de fichiers ou des analyses comportementales. Il bloque les modèles d'exploitation connus au niveau de la demande, en utilisant des règles ciblées liées à des vulnérabilités confirmées. Il est donc plus rapide, plus précis et mieux adapté à la protection en temps réel.

Comment fonctionne le Virtual Patching ?

Lorsqu'une vulnérabilité de plugin est découverte, elle est généralement documentée par un identifiant CVE (Common Vulnerabilities and Exposures). C'est là que tout commence. Les chercheurs en sécurité - ou des plateformes comme Patchstack - vérifient la vulnérabilité et documentent exactement la façon dont l'exploit fonctionne.

Cela devient le patch virtuel. 

Ce correctif n'est pas une correction au niveau du code. Il s'agit d'une règle de sécurité ajoutée à un pare-feu ou à un système de prévention des intrusions qui bloque certains types de requêtes connues pour déclencher la vulnérabilité.

Comme nous l'avons déjà mentionné, ces règles sont très précises. Au lieu de deviner de manière générale ce qui pourrait être malveillant, elles recherchent les schémas d'attaque exacts liés à la vulnérabilité. Il peut s'agir de bloquer une certaine charge utile dans un paramètre d'URL, de restreindre les données POST inattendues ou de filtrer les chaînes d'injection connues.

Par exemple, supposons qu'un plugin présente une vulnérabilité qui permet aux attaquants d'injecter du code SQL par le biais d'un paramètre id personnalisé. Un correctif virtuel pour ce problème pourrait n'autoriser que les entrées numériques pour ce paramètre et bloquer tout le reste, sans toucher au plugin ni interrompre les fonctionnalités du site.

Une fois déployé, le correctif empêche l'exploit d'atteindre votre application. Votre plugin est toujours techniquement vulnérable, mais l'attaque ne peut pas s'exécuter. Cela vous donne juste le temps de tester la mise à jour, d'obtenir des approbations ou d'attendre que le développeur publie un correctif approprié, que vous travailliez sur un seul ou plusieurs sites. 

Pourquoi l'application de correctifs virtuels est-elle importante pour votre agence ?

Gérer des sites WordPress à grande échelle signifie qu'il faut régulièrement faire face aux vulnérabilités des plugins. Certaines sont à faible risque et faciles à corriger. D'autres apparaissent dans des plugins populaires utilisés sur des dizaines de sites de vos clients, et c'est là que les choses deviennent délicates.

Il n'est pas toujours possible d'appliquer un correctif immédiatement. Le correctif n'a peut-être pas encore été publié. Ou la mise à jour existe, mais vous avez besoin de temps pour la tester. Le plugin fait peut-être partie d'un flux de travail personnalisé qui s'interromprait s'il était mis à jour sans avoir été examiné. Tant que vous n'avez pas résolu ce problème, le code vulnérable reste actif.

Ce délai est important. Les attaquants n'attendent pas votre fenêtre de test. Si une vulnérabilité connue est activement exploitée et que le plugin n'a pas été mis à jour, votre site est exposé. Si vous utilisez le même plugin pour plusieurs installations, ce problème peut se propager à l'ensemble du réseau.

Le patching virtuel comble cette lacune. Il bloque le type de requête spécifique qui exploiterait la vulnérabilité sans toucher au plugin lui-même. Le code reste vulnérable, mais l'attaque ne peut avoir lieu. Vous restez protégé tout en gagnant du temps pour planifier correctement la mise à jour.

C'est particulièrement utile lorsque vous gérez un portefeuille de sites. Au lieu de réagir à chaque nouvelle vulnérabilité comme s'il s'agissait d'une urgence, vous pouvez déployer des mises à jour selon votre calendrier, sans laisser les choses ouvertes entre-temps.

Elle ne remplace pas la mise à jour. Mais c'est ce qui rend le maintien de la sécurité plus facile à gérer.

Comment WP Umbrella gère les correctifs virtuels

WP Umbrella analyse vos sites WordPress toutes les six heures. S'il existe une vulnérabilité connue dans un plugin, un thème ou un fichier central, il la signale dans votre tableau de bord afin que vous puissiez agir rapidement.

Pour plus de sécurité, il offre des correctifs virtuels, alimentés par Patchstack, en tant qu'add-on. Si vous avez acheté et activé le module complémentaire Site Protect, WP Umbrella bloquera les tentatives d'exploitation connues au niveau PHP en utilisant les règles de Patchstack. Ces règles sont basées sur des modèles d'attaque réels, et ne reposent donc pas sur des filtres génériques ou des suppositions.

Le module complémentaire Site Protect remplace les multiples plugins de sécurité en offrant des fonctionnalités telles que l'application virtuelle de correctifs, la désactivation des éditeurs de fichiers, la prévention de l'énumération des utilisateurs et l'ajout d'en-têtes de sécurité intelligents. Il applique automatiquement les correctifs au fur et à mesure que de nouvelles menaces sont identifiées. Vous n'avez rien à configurer. Et si le même plugin vulnérable apparaît sur plusieurs sites, tous sont couverts sans qu'il soit nécessaire de passer d'un tableau de bord à l'autre.

La tarification est également simple. Si vous achetez des correctifs virtuels avant la fin du mois de juin 2025, le prix est de 2 $/mois par site. Après cette date, le prix passe à 3 $/mois. Et vous ne payez que pour les sites sur lesquels le correctif est activé.

Les correctifs virtuels s'ajoutent aux autres fonctions de sécurité de WP Umbrella: alertes pour l'expiration du SSL et du domaine, les changements visuels, les erreurs PHP et la santé générale du site. Tout est suivi dans un seul tableau de bord et est conçu pour les personnes gérant des dizaines de sites WordPress.

Site Protect peut-il remplacer mon plugin de sécurité ?

Si vous utilisez Site Protect (notre module complémentaire de sécurité développé par Patchstack), vous pouvez supprimer les plugins de sécurité tels que SecuPress ou Wordfence dans la plupart des cas. 

Site Protect inclut des correctifs virtuels et bloque automatiquement les vulnérabilités connues avant qu'elles ne soient exploitées. L'analyse des logiciels malveillants et les pare-feu volumineux deviennent ainsi inutiles.

Ces anciens plugins consomment souvent beaucoup de ressources serveur et n'agissent qu'après qu'une menace a compromis le site, alors que Site Protect agit de manière proactive.

En outre, la plupart des hébergeurs disposent déjà d'outils de détection de logiciels malveillants au niveau du serveur, comme Imunify360, ce qui signifie que vous faites souvent double emploi et épuisez vos ressources en utilisant des scanners moins puissants sur le site.

Patch quand vous le pouvez, mais protégez toujours

Les vulnérabilités font partie de la gestion des sites WordPress. Certaines peuvent être corrigées immédiatement. D'autres prennent du temps.

Les correctifs virtuels vous aident à rester protégé pendant cette phase intermédiaire.bUtilisez le module complémentaire de correctifs virtuels de WP Umbrella, alimenté par Patchstack, pour appliquer automatiquement des correctifs basés sur des vulnérabilités vérifiées. Ce n'est pas un raccourci. C'est un moyen de réduire la pression lorsque les délais et la sécurité ne s'accordent pas.