Publié le 28 août 2026 - Modifié le 22 juillet 2026
En bref
11 334 nouvelles vulnérabilités ont été découvertes en 2025 dans l’écosystème WordPress, soit une hausse de 42 % par rapport à 2024. C’est le chiffre publié par Patchstack dans son rapport annuel State of WordPress Security de 2026.
Plus inquiétant encore : les premières exploitations d’une faille surviennent désormais, en moyenne, dans les 5 heures suivant sa divulgation publique.
WordPress propulse aujourd’hui 42,4 % de tous les sites web dans le monde. Cette popularité en fait logiquement la cible numéro un des cybercriminels.
Chaque jour, des bots automatisés parcourent Internet à la recherche de sites vulnérables : versions obsolètes, plugins non mis à jour, pages de connexion exposées, mots de passe trop faibles.
Que vous gériez un blog, un site vitrine ou une boutique WooCommerce, la sécurité ne peut plus être laissée au hasard. Dans ce guide, on passe en revue les données clés et les bonnes pratiques concrètes à mettre en place pour sécuriser efficacement votre site WordPress.
11 334
nouvelles vulnérabilités découvertes dans l’écosystème WordPress en 2025 (+42 % vs 2024)
Source : Patchstack
< 5 h
délai médian entre la divulgation d’une faille et sa première exploitation active
Source : Patchstack
43 %
des vulnérabilités WordPress sont exploitables sans authentification
Source : WPSecurityNinja
46 %
des vulnérabilités n’ont pas été corrigées à temps avant leur divulgation publique
Source : Patchstack
En 2024, Wordfence a bloqué et enregistré plus de 54 milliards de requêtes malveillantes, ainsi que plus de 55 milliards d’attaques visant les mots de passe (Source : Wordfence).
La réponse tient en un mot : l’échelle.
Selon les sources, WordPress alimente environ 600 millions de sites web au total dans le monde. Pour un cybercriminel, exploiter une vulnérabilité WordPress, c’est potentiellement accéder à des millions de cibles d’un seul coup.
L’investissement est faible, le potentiel est énorme. À cela s’ajoutent plusieurs caractéristiques techniques connues de WordPress, qui facilitent le travail des attaquants :
59 % des vulnérabilités critiques WordPress peuvent être exploitées via des attaques de masse automatisées (Source : Patchstack). Concrètement, votre site n’est pas ciblé individuellement : il est simplement détecté et attaqué automatiquement par des bots.
Prestashop Vs WooCommerce, quelle solution choisir pour votre E-commerce ?
Les types d’attaques les plus courantes sur WordPress. © WPScan
Ces vulnérabilités correspondent en grande partie aux risques identifiés par l’OWASP dans son classement OWASP Top 10, qui fait référence mondiale en matière de sécurité des applications web.
Les plugins et thèmes représentent la quasi-totalité des vulnérabilités WordPress : 91 % proviennent des plugins, 9 % des thèmes, contre seulement 6 failles recensées dans le cœur de WordPress (source : Patchstack).
En 2025, la majorité des failles identifiées provenaient de composants tiers, souvent peu maintenus ou insuffisamment audités.
Les plugins abandonnés, non mis à jour depuis plus d’un an, ou téléchargés hors des circuits officiels (thèmes “nulled”) sont particulièrement à risque.
Dans la plupart des cas, ces versions présentent un risque élevé de malwares ou de backdoors.
Une vulnérabilité publiée est une vulnérabilité connue des attaquants. En pratique, ne pas mettre à jour WordPress revient à exposer son site à des attaques déjà documentées et souvent automatisées.
Parmi les 10 vulnérabilités les plus exploitées en 2025, seules 4 avaient été publiées la même année, les autres étant plus anciennes et ciblant des sites non mis à jour (Source : Patchstack).
L’URL /wp-login.php reste la cible principale.
Des milliers de tentatives de connexion peuvent être envoyées chaque jour sur un site WordPress.
Les botnets automatisés testent des combinaisons issues de fuites de données et s’appuient sur des patterns liés à votre nom de domaine ou à vos informations publiques.
Selon Patchstack les failles XSS représentent le cœur des vulnérabilités WordPress, ce qui en fait le type de faille le plus courant (Source : Patchstack). Ces attaques injectent du code JavaScript malveillant dans les pages de votre site pour voler les cookies de session, rediriger vos visiteurs vers des sites de phishing, ou récupérer leurs données de formulaires, sans que vous le remarquiez immédiatement.
Le XSS figure parmi les vulnérabilités les plus critiques du classement OWASP.
Ces failles permettent à des utilisateurs non autorisés d’accéder à des fonctionnalités ou données qui devraient leur être interdites. Leur particularité : elles sont très difficiles à bloquer avec un WAF traditionnel, car les exploits ressemblent à du trafic authentifié normal.
Le Broken Access Control est classé comme la vulnérabilité numéro 1 dans l’OWASP Top 10.
Les injections SQL permettent de manipuler la base de données de votre site via des formulaires ou des paramètres d’URL. Un plugin mal codé peut ouvrir cette porte, permettant à un attaquant d’extraire des données clients, de modifier des contenus, ou de créer un compte administrateur fantôme.
Les injections SQL font partie des vulnérabilités historiques les plus exploitées selon OWASP.
Sur un hébergement mutualisé bas de gamme, une contamination croisée depuis un autre site compromis sur le même serveur est possible. Des permissions de fichiers incorrectes peuvent permettre à un attaquant ayant obtenu un accès limité d’escalader ses privilèges et de modifier des fichiers critiques comme wp-config.php.
Découvrez notre article sur les erreurs 500 (causes et solutions).
En 2026, certaines règles sont devenues incontournables.
La règle absolue de 2026 : appliquer les correctifs de sécurité le plus rapidement possible, idéalement dans les 24 heures, compte tenu des délais d’exploitation inférieurs à 5 heures documentés par Patchstack. Activez les mises à jour automatiques pour les correctifs mineurs de WordPress. Pour les mises à jour majeures et les plugins, testez d’abord en staging.
Supprimez aussi les plugins et thèmes désactivés : leur simple présence sur le serveur constitue une surface d’attaque, même s’ils ne sont pas actifs.
Installez uniquement depuis le répertoire officiel WordPress.org ou des développeurs reconnus. Vérifiez : nombre d’installations actives, date de dernière mise à jour (méfiez-vous si > 1 an), et avis utilisateurs.
En 2026, le Cyber Resilience Act renforce progressivement les obligations des éditeurs de logiciels distribués en Europe de mettre en place des politiques de divulgation coordonnée des vulnérabilités, incluant des processus pour signaler, traiter et corriger les failles de sécurité.
N’utilisez jamais « admin » comme nom d’utilisateur : c’est la première combinaison testée par les bots. Choisissez un identifiant non devinable et un mot de passe unique et complexe (minimum 16 caractères) pour chaque service : WordPress, hébergeur, FTP, base de données. Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password).
Si vous avez encore le même mot de passe pour votre back-office et votre FTP ou un mot de passe par défaut, changez-le aujourd’hui. C’est souvent comme cela que les attaques passent.
Les attaques par force brute restent l’une des principales menaces sur WordPress : plus de 19 milliards de tentatives de connexion ont été bloquées au troisième trimestre 2025, provenant de plus de 25 millions d’adresses IP (source : Wordfence). C’est une porte que vous pouvez fermer immédiatement.
L’ANSSI recommande d’utiliser des mots de passe longs, uniques pour chaque service, et de privilégier leur stockage dans un gestionnaire sécurisé (coffre-fort de mots de passe).
Un plugin de sécurité est indispensable. Il assure une surveillance permanente, bloque les attaques en temps réel et vous alerte en cas d’anomalie. Selon le rapport 2022 de Sucuri, 50,58 % des sites CMS compromis utilisaient une version obsolète au moment de l’infection.
Les références du marché en 2026 :
Le HTTPS est fortement recommandé dès lors que vous collectez des données personnelles, conformément aux exigences de sécurité du RGPD et constitue également un critère de classement. Tous les sites devraient être protégés en HTTPS, même sans données sensibles, afin de garantir la sécurité, l’intégrité des données et la confidentialité des utilisateurs (Source : web.dev).
Vous pouvez obtenir gratuitement un certificat SSL via Let’s Encrypt, proposé par la majorité des hébergeurs. Vérifiez que votre certificat se renouvelle automatiquement.
Le fichier wp-config.php contient les identifiants de votre base de données. Protégez-le en le déplaçant un niveau au-dessus de la racine web et en configurant ses permissions à 440 ou 400. Ajoutez dans votre .htaccess une protection par IP sur le dossier wp-admin.
Le préfixe par défaut « wp_ » est connu de tous les outils d’injection SQL. Lors de l’installation, choisissez un préfixe personnalisé (ex : xk7m_).
Planifiez des sauvegardes quotidiennes automatiques (base de données et fichiers), idéalement stockées sur un espace externe à votre hébergement.
Point souvent négligé : testez régulièrement la restauration. Une sauvegarde non testée ne garantit rien le jour où vous en avez besoin.
L’ENISA rappelle que la capacité à restaurer rapidement un système compromis est un élément clé de la résilience face aux cyberattaques.
Aujourd’hui, ne pas avoir de WAF sur un site est une erreur. Un WAF analyse et filtre le trafic avant qu’il n’atteigne votre site WordPress. Il permet de bloquer une grande partie des attaques courantes : injections, XSS, scans automatisés ou DDoS.
Les tests montrent que les protections natives des hébergeurs sont souvent insuffisantes. Un WAF dédié, comme Cloudflare ou intégré à votre plugin de sécurité, devient donc essentiel.
Ces 10 points vous semblent complexes à mettre en place seul ? On s’en occupe pour vous. Contactez-nous pour un accompagnement sur-mesure.
Malgré toutes les précautions, un incident reste possible. Dans ce cas, il est important d’agir rapidement :
Attention aux coûts : une cyberattaque peut coûter en moyenne plus de 4,4 millions de dollars à une entreprise, en tenant compte des pertes de revenus, des frais juridiques et de l’impact réputationnel (Source : IBM).
En 2026, la sécurité WordPress n’est plus une option. Les attaques sont plus rapides, plus automatisées et souvent invisibles au premier abord.
Les 11 334 vulnérabilités découvertes en 2025 et les délais d’exploitation réduits à quelques heures imposent une approche proactive.
La bonne nouvelle, c’est que la majorité des piratages reposent sur des failles connues et évitables.
Mises à jour régulières, sélection rigoureuse des plugins, authentification renforcée, sauvegardes fiables et WAF : c’est la combinaison de ces actions qui fait réellement la différence.
La sécurité de votre site WordPress repose avant tout sur une démarche continue.
Un bon plugin de sécurité couvre l’essentiel, mais il ne remplace pas les bonnes pratiques de base. Un plugin mal configuré sur un WordPress non mis à jour ou avec des mots de passe faibles n’offre qu’une fausse sécurité. Pensez-y comme une ceinture de sécurité : indispensable, mais pas suffisant si vous roulez à contresens.
Une mise en sécurité de base des plugins, 2FA, mots de passe robustes, HTTPS et sauvegardes se fait en une demi-journée. La vraie sécurité, elle, est un processus continu : mises à jour régulières, surveillance, audits ponctuels. Comptez au moins 30 minutes par mois pour maintenir ce niveau.
Parce que tous les bots du monde la connaissent. L’URL /wp-login.php est la première adresse testée lors d’une attaque automatisée. La changer ne rend pas votre site invulnérable, mais elle élimine immédiatement une part massive du trafic malveillant avant même qu’il n’atteigne votre formulaire de connexion.
Oui. Sur un hébergement mutualisé bas de gamme, un site voisin compromis peut contaminer le vôtre. La qualité de l’infrastructure, l’isolation des comptes et la réactivité de l’hébergeur en cas d’incident font partie intégrante de votre sécurité globale.
La règle du 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site (cloud externe, non lié à votre hébergeur). En pratique : une sauvegarde quotidienne sur 7 jours glissants minimum. Et testez la restauration au moins une fois par trimestre.
Découvrez comment sécuriser votre site WordPress avec des actions simples et essentielles pour réduire les…
L’essentiel à retenir Le MCP Screaming Frog, introduit avec la version 24.0 du SEO Spider…
Activez Google Tag Manager sur votre WordPress en quelques clics. Guide pas à pas pour…
