Vous êtes artisan, commerçant, thérapeute, gérant d'une petite structure. Il y a quelques années, quelqu'un vous a monté un site vitrine : vos coordonnées, vos prestations, quelques photos, un formulaire de contact. Depuis, il tourne tout seul. Vous ne l'ouvrez que pour corriger un horaire — et encore, une fois par an.

Ce site est très probablement construit avec WordPress, le logiciel qui fait fonctionner près d'un site sur deux dans le monde. Et cet été, deux alertes de sécurité importantes l'ont concerné : une alerte officielle française sur le cœur de WordPress fin juillet 2026, puis une faille dans Elementor Pro, l'un des outils de mise en page les plus utilisés, corrigée le 19 août 2026.

Pas de panique : cet article n'est pas là pour vous inquiéter, mais pour vous dire exactement quoi vérifier, dans quel ordre, et surtout pour vous expliquer le point que presque tout le monde ignore : mettre son site à jour ne le nettoie pas.

« Mon site est tout petit, qui irait s'y intéresser ? »

C'est la phrase qu'on entend le plus souvent, et c'est le malentendu le plus coûteux.

Personne ne s'est réveillé un matin en décidant d'attaquer votre site. Ce n'est pas comme ça que ça marche. Les attaques sur WordPress sont automatisées : des programmes parcourent le web en permanence, testent des millions d'adresses à la chaîne, et repèrent en quelques secondes les sites qui tournent avec une version vulnérable. Ils ne regardent ni votre chiffre d'affaires, ni votre nombre de visiteurs. Ils regardent un numéro de version.

Autrement dit : un site vitrine de plombier à Hyères et le site d'une grosse enseigne sont, pour ces robots, strictement la même cible. Le petit site est même souvent plus intéressant, pour une raison simple : personne ne le surveille.

Et que font les attaquants d'un site vitrine sans intérêt commercial ? Ils ne le « défigurent » quasiment jamais — ça se verrait. Ils s'en servent discrètement :

• pour héberger des pages de hameçonnage ( fausses pages de banque, de La Poste, des impôts ) — sur votre nom de domaine, celui en qui vos clients ont confiance ;
• pour envoyer des courriels frauduleux en masse depuis votre domaine — au passage, vos vrais mails professionnels finissent en indésirables chez tout le monde ;
• pour glisser des liens invisibles vers des sites douteux, ce que Google finit par détecter — et sanctionner.

Le propriétaire, lui, ne s'aperçoit de rien pendant des mois. Il le découvre le jour où son site est déclassé dans Google, où son hébergeur suspend le compte, ou où un client l'appelle pour signaler une page bizarre.

Ce qui s'est passé cet été, en français simple

1. Le cœur de WordPress — alerte officielle du 23 juillet 2026

Fin juillet, les autorités françaises ( l'ANSSI et Cybermalveillance.gouv.fr ) ont déclenché une AlerteCyber — le dispositif officiel réservé aux menaces jugées critiques, destiné aux entreprises, collectivités et associations, y compris les plus petites.

En cause : deux failles du cœur même de WordPress, référencées CVE-2026-60137 et CVE-2026-63030, surnommées WP2Shell. Utilisées ensemble, elles permettent à un attaquant de prendre le contrôle à distance du site et du serveur qui l'héberge. L'alerte prévenait que des attaques massives et automatisées étaient imminentes.

Les versions concernées :

Votre version de WordPress	À mettre à jour si…
6.8.x	inférieure à 6.8.6
6.9.x	inférieure à 6.9.5
7.x	inférieure à 7.0.2
7.1.x	inférieure à 7.1 beta2

Si votre site n'a pas été touché depuis des années, vous êtes probablement sur une version bien antérieure à toutes celles-là — donc concerné, et depuis longtemps.

2. L'extension Elementor Pro — corrigée le 19 août 2026

Beaucoup de sites vitrines sont mis en page avec Elementor, un outil qui permet de composer les pages à la souris. Sa version payante, Elementor Pro, a eu une faille critique dans son module d'envoi de fichiers, corrigée dans la version 4.2.2 publiée le 19 août 2026. Techniquement, elle permettait de déposer du code malveillant sur le site en déguisant l'envoi.

Ici, une bonne nouvelle et une nuance importante — parce que l'honnêteté vaut mieux que l'alarmisme :

• Seuls sont réellement exposés les sites qui ont un formulaire Elementor Pro avec une possibilité d'envoi de fichiers ( le fameux « joignez votre CV / votre photo » ). Un formulaire de contact classique, avec juste nom, mail et message, n'est pas dans ce cas.
• Aucune attaque exploitant cette faille n'a été observée à ce jour.

Ce n'est donc pas une urgence de la même nature que WP2Shell. Mais si vous avez Elementor Pro, la mise à jour reste à faire — sans stress.

Le point crucial que presque personne ne vous dira : mettre à jour ne nettoie pas

C'est le message le plus important de cet article, alors disons-le clairement.

Une mise à jour ferme la porte. Elle ne fait pas sortir ceux qui sont déjà entrés.

Si votre site a été compromis en juin, et que vous le mettez à jour en septembre, le fichier malveillant déposé en juin est toujours là, parfaitement fonctionnel. Vous avez changé la serrure alors que le cambrioleur avait déjà installé son matelas dans le grenier.

Ce n'est pas une théorie de spécialiste : c'est exactement la recommandation officielle faite cet été à propos d'une autre faille ( les serveurs Microsoft SharePoint ), où il était demandé d'appliquer le correctif et de réinitialiser tous les identifiants, précisément parce qu'un correctif seul n'expulse pas un attaquant déjà installé.

Concrètement, après une mise à jour, il faut regarder :

• le dossier wp-content/uploads/ : c'est là que vont vos images et vos PDF. Aucun fichier .php n'a rien à y faire. S'il y en a un, c'est un signal fort ;
• en particulier wp-content/uploads/elementor/forms/ si vous utilisez les formulaires d'Elementor ;
• les dates de modification des fichiers wp-config.php et .htaccess : s'ils ont été modifiés récemment alors que personne n'a touché au site, il faut comprendre pourquoi ;
• la liste des comptes administrateurs : un compte que vous ne reconnaissez pas est un compte à supprimer — après avoir compris comment il est arrivé là.

Ce sont des vérifications que la personne qui gère votre site sait faire en quelques minutes. Encore faut-il les demander : une mise à jour seule ne les déclenche pas.

Les signes qu'un site est déjà compromis

Un site piraté ne clignote pas en rouge. Voici ce qui doit vous alerter :

• Vos visiteurs sont redirigés vers un site inconnu ( pharmacie en ligne, jeux d'argent, fausse boutique ) — souvent seulement quand ils arrivent depuis Google, et pas quand vous tapez l'adresse vous-même. C'est fait exprès : le propriétaire ne voit rien.
• Des pages inconnues apparaissent sur votre domaine, souvent dans une langue étrangère, ou avec des noms de marques que vous ne vendez pas.
• Vous recevez un avertissement de Google Search Console du type « contenu piraté » ou « ce site peut être piraté ».
• Votre site est subitement plus lent, ou l'hébergeur vous signale une consommation anormale.
• Vos courriels professionnels arrivent en indésirables chez vos clients, ou vous recevez des retours de mails que vous n'avez jamais envoyés : votre domaine sert de relais à des envois en masse.
• Des fichiers récents traînent dans les dossiers du site alors que personne n'y a touché.

Si un ou plusieurs de ces signes sont présents, la mise à jour ne suffira pas. Il faut un nettoyage.

La checklist en 8 points, dans l'ordre

Cet ordre n'est pas décoratif : chaque étape prépare la suivante.

• 1. Sauvegarder d'abord. Le site complet — fichiers et base de données — avant toute manipulation. Une mise à jour ratée sur un vieux site, ça arrive ; sans sauvegarde, c'est un site perdu. Le principe de la bonne sauvegarde est le même que pour vos documents : la règle 3-2-1.
• 2. Mettre à jour dans le bon ordre : le cœur de WordPress, puis le thème, puis les extensions — en regardant le site après chaque étape. Si quelque chose casse, vous savez immédiatement quoi incriminer.
• 3. Supprimer, pas seulement désactiver, les extensions et thèmes inutilisés. Une extension désactivée reste présente sur le serveur et reste attaquable. C'est l'une des portes d'entrée les plus fréquentes sur les vieux sites, qui traînent souvent trois thèmes et dix extensions abandonnés.
• 4. Faire le ménage dans les comptes : supprimer les administrateurs inconnus ou ceux d'anciens prestataires, se débarrasser du compte générique nommé « admin », et activer la double authentification. Si ce terme ne vous dit rien, voici ce que c'est, expliqué simplement — et pour les mots de passe, un gestionnaire n'est plus un luxe.
• 5. Chercher ce qui a pu être déposé : les fichiers .php dans uploads/, les modifications récentes de wp-config.php et .htaccess ( voir la section précédente ).
• 6. Activer les mises à jour automatiques, au minimum pour les versions de sécurité du cœur de WordPress. C'est le réglage qui vous évitera de revivre cet article dans deux ans.
• 7. Bloquer l'accès non authentifié à l'API REST ( /wp-json/ ) si aucun usage ne l'exige. C'est le contournement recommandé officiellement pour WP2Shell quand la mise à jour ne peut pas être faite tout de suite ; votre prestataire ou votre hébergeur comprendra la demande.
• 8. Vérifier que votre hébergeur sauvegarde — et surtout savoir restaurer. Une sauvegarde qu'on n'a jamais testée n'est pas une sauvegarde. Attention toutefois : restaurer un site déjà infecté depuis une sauvegarde infectée ne règle rien, d'où l'importance du point 5.

Le piège auquel on ne pense jamais : ce n'est pas toujours le site, c'est l'ordinateur

Voilà une situation que nous voyons régulièrement, et qui explique bien des piratages « inexplicables ».

Le site est à jour. Les extensions sont propres. Et pourtant, il est repiraté quinze jours après avoir été nettoyé.

La raison est ailleurs : le poste de travail de la personne qui gère le site est infecté par ce qu'on appelle un voleur d'identifiants. Ce type de programme siphonne discrètement tous les mots de passe enregistrés dans le navigateur — dont ceux de l'administration WordPress, de l'hébergeur et du FTP. L'attaquant n'a alors même pas besoin de faille : il se connecte normalement, avec vos identifiants.

D'où une règle absolue : nettoyez l'ordinateur d'abord, changez les mots de passe ensuite. Dans l'autre ordre, les nouveaux mots de passe repartent aussitôt chez l'attaquant, et vous avez travaillé pour rien. C'est le même raisonnement que celui à appliquer quand un compte Facebook ou Instagram est piraté, ou plus généralement quand on remet un PC d'aplomb après une arnaque.

Et si votre site a servi de relais de hameçonnage, pensez aussi à prévenir vos clients : ils ont pu recevoir un mail parfaitement crédible portant votre nom. Savoir repérer un mail de hameçonnage en 30 secondes est une page utile à leur transmettre.

Une dernière chose : méfiez-vous des « alertes » qui vous trouvent toutes seules

Ironie de la situation : dès qu'une faille fait parler d'elle, les escrocs s'en servent. Vous pouvez recevoir un mail affolant ( « votre site est piraté, cliquez ici » ), un appel d'un soi-disant service de sécurité, ou voir surgir une fenêtre pleine écran avec un numéro à rappeler.

Les repères sont simples :

• Une vraie alerte officielle ne s'affiche jamais dans une fenêtre de navigateur et ne donne jamais de numéro à rappeler. Elle est publiée sur un site en .gouv.fr — que l'on atteint en tapant l'adresse soi-même, jamais en cliquant sur un lien reçu.
• Elle vous demande d'installer une mise à jour ou de changer un réglage. Jamais de payer, jamais de donner un accès à distance à votre ordinateur.
• Les sources fiables : Cybermalveillance.gouv.fr, le CERT-FR pour les avis techniques, et 17Cyber si vous êtes victime.

Si vous avez déjà eu ce genre de fenêtre à l'écran, notre article sur les fausses alertes de virus et les faux antivirus et celui sur l'arnaque au faux support technique vous diront quoi faire.

Par où commencer, très concrètement

Si vous ne devez retenir que trois actions cette semaine :

• Retrouvez vos accès — administration WordPress, compte d'hébergement, et le nom de la personne ou de l'agence qui a monté le site. Beaucoup de dossiers commencent ( et se bloquent ) là.
• Demandez une mise à jour complète du site, sauvegarde préalable comprise — et exigez explicitement la vérification décrite plus haut, pas seulement les mises à jour.
• Faites nettoyer l'ordinateur depuis lequel vous administrez le site, surtout si les mots de passe y sont enregistrés dans le navigateur.

Sur ce troisième point, BSC Sécurité est à votre disposition : nettoyage complet du poste, suppression des programmes indésirables, vérification qu'aucun accès à distance n'a été laissé en place, et remise en ordre de vos comptes en ligne dans le bon ordre. Appelez le 04 94 27 65 95 ou écrivez à contact@bsc-securite.fr.

Et selon votre situation :

• besoin d'une intervention à domicile ou sur votre lieu d'activité, sans déplacer le matériel → BSC Assistance, agréée service à la personne ;
• diagnostic en atelier, remplacement ou achat de matériel professionnel → BSC Informatique ;
• fichiers perdus ou chiffrés à la suite d'une infection, sur un poste ou un disque externe → ne tentez rien de plus et confiez le support à BSC DataRecovery, spécialiste de la récupération de données ;
• ordinateur immobilisé le temps du nettoyage et vous ne pouvez pas vous arrêter de travailler → BSC Location loue des postes en courte durée.

En résumé

• Un site vitrine WordPress laissé sans mise à jour est une cible automatique, pas une cible choisie : sa petite taille ne le protège en rien.
• L'été 2026 a apporté deux alertes : les failles WP2Shell du cœur de WordPress ( alerte officielle du 23 juillet, versions 6.8.6 / 6.9.5 / 7.0.2 / 7.1 beta2 ), et une faille d'Elementor Pro corrigée le 19 août en version 4.2.2 — cette dernière ne concernant réellement que les sites ayant un formulaire avec envoi de fichiers, et sans attaque observée à ce jour.
• Mettre à jour ne nettoie pas : un fichier malveillant déjà déposé reste actif. Après la mise à jour, il faut inspecter — en particulier les fichiers .php dans uploads/.
• Les signes d'un site déjà compromis : redirections visibles seulement depuis Google, pages inconnues, avertissement Search Console, mails en masse partis de votre domaine.
• La marche à suivre tient en 8 points, et commence toujours par une sauvegarde.
• Si le site est repiraté après nettoyage, le coupable est souvent l'ordinateur qui l'administre : on nettoie le poste avant de changer les mots de passe.

Un doute, un site bizarre, un mail alarmant ? BSC Sécurité vous répond au 04 94 27 65 95 ou à contact@bsc-securite.fr.

Un doute sur votre site ou sur votre ordinateur ?

On nettoie le poste depuis lequel vous administrez votre site, on traque les voleurs de mots de passe et les accès à distance oubliés, et on remet vos comptes en ligne à l'abri dans le bon ordre.
On vous remet d'aplomb et on vous explique tout, simplement.

Tél. 04 94 27 65 95