En bref : si votre site WordPress affiche des contenus étrangers, redirige ou devient soudain lent, partez du principe qu'il s'agit d'un cas grave et contactez-nous maintenant. Nous prenons le relais dès le premier message : sécuriser les traces, bloquer les accès, rechercher les portes dérobées, nettoyer le site et documenter l'incident. Tout à distance, sans déplacement.
Ne supprimez rien et ne réinstallez rien pour l'instant. Qui retire des plug-ins ou restaure la sauvegarde avant que tout ait été sécurisé détruit les traces de l'intrusion. Vous êtes concerné ? Appelez-nous ou écrivez-nous sur WhatsApp, ou utilisez directement Signaler une urgence.
Votre WordPress est-il piraté ?
Une attaque contre WordPress ne se remarque pas toujours. Ces signes plaident pour une compromission :
- Les visiteurs sont redirigés vers des sites étrangers, de la publicité ou de fausses boutiques, souvent seulement depuis un mobile ou depuis des moteurs de recherche
- dans Google apparaissent, en votre nom, des pages avec des textes de pharmacie, de jeux d'argent ou en langue étrangère, voir Spam SEO dans l'index de Google
- le tableau de bord compte des administrateurs que personne n'a créés, ou les mots de passe ne se réinitialisent soudain plus
- le dossier
wp-content/uploadscontient des fichiers.phpqui n'ont rien à y faire (comment interpréter de telles trouvailles) - des plug-ins ou des thèmes que vous n'avez jamais installés apparaissent, ou disparaissent d'eux-mêmes
- votre hébergeur signale un envoi de spam, une charge élevée ou bloque le site
- le navigateur ou Google affiche un avertissement concernant votre site
D'autres signes au niveau du serveur figurent sous Suis-je déjà compromis ?.
Ce que vous faites tout de suite
- Mettre le site en mode maintenance ou le retirer du réseau si des visiteurs sont en danger. Laissez les fichiers inchangés.
- Ne rien désinstaller et ne supprimer aucun fichier. Pas même les plug-ins qui paraissent suspects.
- Faire sécuriser les journaux : demandez à votre hébergeur de ne pas écraser les journaux d'accès et d'erreurs. La presse spécialisée conseille de conserver les journaux du serveur à partir du 20 octobre 2026.
- Rassembler les accès : qui a l'administration WordPress, FTP, SSH, le panneau d'hébergement et la base de données ? Notez-le, mais ne changez les mots de passe qu'après concertation et depuis un appareil sain.
- Vérifier les boîtes mail : le compte enregistré comme adresse d'administration dans WordPress peut servir à réinitialiser des mots de passe.
- Informer les parties concernées : la direction, le délégué à la protection des données et, le cas échéant, l'assureur.
- Contactez-nous avant d'intervenir davantage vous-même.
Comment PHP SOS aide-t-il pour un site WordPress piraté ?
- Faire le point : nous clarifions ce que vous voyez, quels plug-ins et thèmes sont en service, qui avait accès et où se trouve le serveur.
- Sécuriser et fermer : les fichiers, la base de données et les journaux sont sécurisés, les accès suspects bloqués, le site isolé si nécessaire.
- Examiner et nettoyer : nous comparons les fichiers du cœur avec l'original (cet article explique comment faire), recherchons les portes dérobées dans les plug-ins, les thèmes, les fichiers envoyés et la base de données, et nous les supprimons. La démarche correspond à notre prestation Supprimer les logiciels malveillants et les webshells.
- Durcir et rendre compte : l'état de PHP, les droits, la protection de l'administration et les mises à jour sont vérifiés. Vous recevez un rapport avec chronologie, éléments trouvés et recommandations.
Mise à jour de WordPress contre PHP2Shell : pourquoi elle ne suffit pas
Beaucoup d'exploitants croient que tout est réglé avec la dernière version de WordPress. C'est faux. PHP2Shell, c'est-à-dire CVE-2026-109618 et CVE-2026-109619, se trouve dans l'interpréteur PHP sur lequel WordPress fonctionne. La faille est corrigée dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Selon Dr. Web, WordPress.org ne prévoit pas de mise à jour propre à ce sujet. Ce qui est déterminant, c'est l'environnement d'exécution PHP de votre serveur ; vous en saurez plus dans Pourquoi une mise à jour de WordPress n'aide pas et sur la page WordPress et PHP2Shell.
De même : un correctif PHP ne supprime pas le code malveillant déjà introduit. Les deux doivent être vérifiés ensemble.
Portes dérobées dans WordPress : où elles se cachent
Les attaquants déposent volontiers des accès là où l'on regarde rarement : dans les mu-plugins, dans les fichiers de thème comme functions.php, dans les dossiers d'images avec une double extension de fichier, dans la table wp_options ou dans les tâches planifiées de WordPress. Vous trouverez des détails et des méthodes de vérification sous Trouver les portes dérobées dans WordPress. Après le nettoyage, chaque accès administrateur devrait être sécurisé par une authentification à deux facteurs.
Si votre site est marqué comme dangereux par Google ou par un navigateur, nous éliminons d'abord la cause, puis nous vous aidons pour le réexamen. La démarche est décrite dans Faire retirer l'avertissement de Google.
Comment nous remettons le site en ligne
Un site WordPress ne retourne sur Internet que lorsque les fichiers du cœur, les plug-ins et le thème ont été vérifiés, que les identifiants et les clés de la configuration ont été renouvelés et qu'aucun utilisateur suspect n'existe plus. Ensuite, nous vérifions le site public du point de vue d'un visiteur, y compris depuis un mobile, car certaines redirections n'y apparaissent que là. Nous recommandons ensuite un contrôle plus étroit pendant les semaines suivantes. Il n'existe pas d'assurance que le site ne sera plus jamais attaqué, mais un état documenté et vérifié.
Ce que vous devriez nous envoyer
- l'adresse du site et, si elle est connue, l'hébergeur
- depuis quand et à quoi vous avez remarqué quelque chose
- des captures d'écran des avertissements, des redirections ou des comptes administrateur étrangers
- une liste des plug-ins et du thème, si elle est connue
- l'état de la dernière sauvegarde
Merci de ne pas envoyer d'identifiants par e-mail sans qu'on vous le demande ; nous convenons avec vous de la voie sécurisée.
Pourquoi PHP SOS
Nous travaillons Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous avez un interlocuteur unique, qui accompagne votre dossier du premier message jusqu'à la clôture. Nous travaillons à distance partout en Allemagne et en Europe, documentons chaque étape et ne promettons que ce qui peut être tenu : nous travaillons jusqu'à ce que l'incident soit clos et documenté. Si des données personnelles ont pu être touchées, le rapport vous aide aussi pour la notification RGPD ; l'appréciation juridique reste du ressort de votre délégué à la protection des données. La page Site web piraté : aide d'urgence décrit l'ensemble de la prestation.
Vous êtes concerné ? Appelez-nous. Nous vous aidons.
Si votre site WordPress se comporte de façon suspecte, n'attendez pas la prochaine anomalie. Contactez-nous maintenant, par téléphone ou WhatsApp, et nous prenons le relais dès le premier message. Signaler une urgence maintenant
Questions fréquentes
Suffit-il de mettre à jour WordPress et tous les plug-ins si le site a été piraté ?
Non. Une mise à jour ferme des failles pour l'avenir, mais ne supprime pas une porte dérobée déjà présente sur le serveur. À cela s'ajoute que la faille PHP2Shell se trouve dans l'interpréteur PHP, pas dans WordPress. Selon des rapports, WordPress.org ne prévoit pas de mise à jour propre à ce sujet.
Puis-je restaurer une ancienne sauvegarde et en rester là ?
Seulement avec prudence. Qui ne connaît pas le moment de l'intrusion risque de restaurer des fichiers déjà infectés. De plus, la porte d'entrée reste ouverte si personne ne l'a trouvée. D'abord sécuriser, ensuite évaluer, puis restaurer.
Comment reconnaître un compte administrateur invisible dans WordPress ?
Certains comptes n'apparaissent pas dans la liste des utilisateurs, car du code malveillant filtre l'affichage. Un contrôle direct dans la base de données et la comparaison avec les personnes connues en disent plus. Cela fait partie du nettoyage que nous prenons en charge.
Pourquoi le code malveillant réapparaît-il sans cesse après avoir été supprimé ?
Il existe alors généralement une seconde porte dérobée ou un mécanisme qui recharge des fichiers, par exemple une tâche planifiée ou des fichiers manipulés dans des dossiers inhabituels. Qui ne supprime que les symptômes visibles combat le signe et non la cause.
Combien cela coûte-t-il si Google marque mon site WordPress comme dangereux ?
Cela dépend de l'ampleur et du travail nécessaire, et ne peut se dire qu'après une première évaluation. Il est judicieux d'éliminer d'abord la cause, puis de demander le réexamen auprès de Google.