Chaque jour, environ 13 000 sites WordPress sont piratés dans le monde, selon les données compilées par Patchstack dans son rapport annuel 2026. Ce chiffre vertigineux n’a rien d’une fatalité, mais il dit quelque chose d’important : la popularité de WordPress, qui propulse 43,5 % des sites web mondiaux, en fait une cible privilégiée. En France, la situation n’est guère plus rassurante : Cybermalveillance.gouv.fr a reçu plus de 504 000 demandes d’assistance en 2025, un record. Savoir reconnaître une intrusion et agir vite peut faire toute la différence.
Reconnaître les signes d’un site compromis
Un piratage ne s’annonce pas toujours par une page défigurée. Les attaques les plus insidieuses restent longtemps invisibles pour le propriétaire du site, mais bien visibles pour Google et les visiteurs. Parmi les signaux les plus courants : des redirections soudaines vers des sites de pharmacie en ligne ou de paris, des caractères japonais qui apparaissent dans les résultats de recherche (le fameux « Japanese Keyword Hack »), ou encore un avertissement affiché par le navigateur indiquant que le site est dangereux.
La Google Search Console peut aussi envoyer une notification de contenu malveillant, et certains hébergeurs suspendent directement le compte en cas d’activité suspecte détectée sur le serveur. Côté back-office, la présence de comptes administrateurs inconnus ou de fichiers PHP suspects dans les répertoires wp-content ou wp-includes sont des indicateurs concrets à vérifier. Un scanner gratuit comme Sucuri SiteCheck permet d’obtenir un premier diagnostic en quelques secondes.
Les conséquences d’un piratage non traité rapidement peuvent s’avérer lourdes : déréférencement par Google, inscription sur liste noire (Google Safe Browsing), destruction du SEO construit sur des mois, voire des années. Et si le site collecte des données personnelles, une obligation légale s’ajoute : toute violation doit être notifiée à la CNIL dans les 72 heures, conformément à l’article 33 du RGPD.
Comprendre pourquoi ça arrive : les vecteurs d’attaque
En 2025, 91 % des 11 334 nouvelles vulnérabilités recensées dans l’écosystème WordPress provenaient de plugins, selon Patchstack. Le délai médian entre la publication d’une faille et sa première exploitation active est désormais de seulement 5 heures. Autant dire qu’un plugin laissé sans mise à jour pendant quelques jours représente une fenêtre d’opportunité réelle pour un attaquant.
Les thèmes et plugins « nulled », c’est-à-dire des versions premium piratées téléchargées hors des canaux officiels, constituent un autre vecteur majeur. Ils contiennent quasi-systématiquement des backdoors intégrés. Le malware wp-vcd, l’un des plus répandus, se propage exclusivement via ce type de contenu et s’auto-réplique dans les fichiers core du site. Les attaques par force brute sur /wp-login.php complètent ce tableau, avec des centaines de milliards de tentatives enregistrées chaque année sur les installations WordPress.
L’hébergement mutualisé présente également un risque spécifique : si un site voisin sur le même serveur est compromis, la contamination latérale est possible. Un fichier wp-config.php mal protégé, exposant les identifiants de la base de données, peut suffire à livrer l’ensemble du site.
Nettoyer un site piraté : les étapes à suivre
La première réaction doit être de mettre le site en mode maintenance pour protéger les visiteurs, puis de faire une sauvegarde de l’état infecté, utile pour une analyse ultérieure. Vient ensuite le scan approfondi des fichiers : wp-content, wp-includes, wp-admin, les thèmes, les plugins et la base de données.
L’étape la plus critique est la suppression des backdoors. C’est précisément là que beaucoup de nettoyages échouent : si le vecteur d’entrée n’est pas éliminé, les malwares modernes se réécrivent d’eux-mêmes. Patchstack note dans son rapport 2026 que les logiciels malveillants sont devenus nettement plus furtifs et résistants. Après avoir supprimé les fichiers suspects, il faut réinstaller WordPress et les plugins depuis WordPress.org uniquement, changer l’ensemble des mots de passe (WordPress, FTP, base de données, hébergeur), puis mettre à jour tout l’écosystème et supprimer ce qui est inutilisé. Enfin, une demande de révision via la Search Console permet de demander à Google la levée du blacklisting.
Quand le malware revient malgré les tentatives de nettoyage, quand le site est suspendu par l’hébergeur ou que des données clients sont potentiellement exposées, faire appel à un spécialiste est souvent la seule option vraiment efficace. Un nettoyage WordPress piraté réalisé par un expert garantit une éradication complète, sans laisser de backdoor oublié dans un coin de l’arborescence.
Un site WordPress piraté ne se résume jamais à un simple problème technique : c’est un risque pour la réputation, pour le référencement, et parfois pour la conformité légale. Réagir vite et méthodiquement reste la meilleure façon de s’en sortir sans trop de casse.
