Une mise à jour piégée est une mise à jour légitime, distribuée par le canal officiel de l’éditeur, dans laquelle un attaquant a glissé du code malveillant. La réponse courte à la question que se posent beaucoup de dirigeants cette semaine : oui, il faut continuer à patcher vite, mais en traitant chaque mise à jour comme un changement à surveiller, et non comme un acte de confiance aveugle.
En quelques jours, trois éditeurs utilisés par des PME et des ETI ont vu leur canal de distribution détourné. Aucun de ces incidents ne reposait sur une faille non corrigée chez la victime : ce sont précisément les entreprises qui faisaient « bien les choses » qui ont reçu le code malveillant. C’est ce paradoxe qu’il faut comprendre pour ajuster votre gestion des correctifs sans la casser.
Trois mises à jour piégées en une semaine, un même schéma
Rank Math PRO : une extension WordPress piégée pendant onze heures
L’éditeur de l’extension SEO Rank Math a confirmé que la version PRO 3.0.123, téléchargée depuis son site officiel entre le 15 octobre à 20 h 02 UTC et le 16 octobre à 7 h 12 UTC, contenait un logiciel malveillant (avis de l’éditeur). Une fois l’extension activée, la porte dérobée se recrée à chaque visite du site, crée des comptes administrateurs et expose les identifiants de base de données et les clés d’API accessibles au serveur web. La version gratuite publiée sur WordPress.org n’est pas concernée, et la version 3.0.124 est saine.
AOMEI Backupper : un logiciel de sauvegarde qui installe une porte dérobée
Les équipes de Google Threat Intelligence et de ManageEngine ont documenté une campagne dans laquelle les fichiers de configuration du système de notification d’AOMEI Backupper ont été modifiés sur les serveurs de l’éditeur pendant des fenêtres de cinq à dix minutes seulement (rapport Google). Les attaquants avaient aussi modifié la somme de contrôle attendue : le fichier malveillant passait donc la vérification d’intégrité du logiciel. Résultat : un outil de prise en main à distance légitime, détourné en porte dérobée, installé sans aucune action de l’utilisateur.
ConnectWise Cloud Backup : la confiance accordée à une application SaaS
Troisième variante, sans aucun fichier téléchargé : un identifiant appartenant au service de sauvegarde Microsoft 365 de ConnectWise a été volé puis utilisé pour accéder aux tenants de ses clients. Le service disposait de permissions très élevées, et Huntress a observé des connexions non autorisées dans 162 tenants (The Record). ConnectWise a suspendu le service et révoqué les certificats concernés.
Le point commun de ces trois cas n’est pas une technologie, c’est un canal de confiance : un site officiel, un serveur de mise à jour, une application à laquelle vous avez donné votre accord. C’est la définition même d’une attaque supply chain.
Pourquoi arrêter de patcher serait la pire réponse
La tentation est compréhensible : si la mise à jour elle-même peut être piégée, pourquoi se presser ? Parce que les deux risques ne sont pas du même ordre. Les fenêtres de compromission décrites plus haut se comptent en minutes ou en heures, puis l’éditeur publie une version saine. Une faille connue et non corrigée, elle, reste exploitable pendant des semaines ou des mois, et les attaquants industrialisent désormais l’exploitation en quelques heures après la publication d’un correctif. Nous avons détaillé ce phénomène dans notre article sur la réduction de la fenêtre de patch.
Renoncer aux correctifs, ou les repousser de plusieurs semaines « par prudence », revient donc à échanger un risque rare et bref contre un risque fréquent et durable. La bonne question n’est pas « faut-il patcher ?», mais « quelles mises à jour doivent passer tout de suite, et lesquelles peuvent attendre deux jours ? ».
Ce qu’une mise à jour piégée change dans votre gestion des correctifs
Distinguer les correctifs de sécurité des mises à jour fonctionnelles
Un correctif qui ferme une faille activement exploitée doit être appliqué sans délai, quel que soit l’éditeur. En revanche, une nouvelle version d’extension WordPress, d’utilitaire de bureau ou d’outil de sauvegarde qui n’apporte que des fonctionnalités peut attendre 48 heures. Ce court délai suffit souvent à laisser la communauté repérer une version piégée : dans le cas de Rank Math, la version compromise a été retirée en moins d’une demi-journée. Concrètement, désactivez la mise à jour automatique des extensions non critiques et regroupez-les dans une fenêtre hebdomadaire.
Réduire ce que chaque outil tiers peut faire
L’incident ConnectWise rappelle qu’une application SaaS connectée à Microsoft 365 avec des droits d’écriture sur l’annuaire est, de fait, un administrateur supplémentaire. Plus vous accordez de permissions, plus la compromission de l’éditeur devient la vôtre. Notre méthode pour auditer les applications tierces Microsoft 365 permet de faire ce tri en une demi-journée.
Savoir en une heure si vous êtes concerné
Quand un éditeur annonce une compromission, la première question est simple : utilisons-nous ce logiciel, et dans quelle version ? Une PME sans inventaire à jour met souvent plusieurs jours à répondre, pendant lesquels la porte dérobée reste active. Un inventaire des logiciels installés, des extensions de vos sites et des applications connectées à vos comptes cloud est la condition pour réagir vite.
Détecter ce que la signature ne voit pas
Le cas AOMEI le montre : une mise à jour piégée peut porter une signature valide et passer les contrôles d’intégrité. La détection ne peut donc pas reposer uniquement sur la provenance du fichier. Elle repose sur le comportement après installation :
- un logiciel de sauvegarde qui installe un outil de prise en main à distance ;
- un compte administrateur créé sur votre site WordPress sans demande interne ;
- une nouvelle tâche planifiée ou un fichier modifié dans un répertoire système ;
- une connexion sortante vers un domaine jamais vu auparavant ;
- une application cloud qui s’attribue un rôle d’administrateur.
C’est ce type de signal faible, isolé dans le bruit quotidien, qui permet de couper l’accès avant que l’attaquant ne s’installe durablement. ManageEngine a d’ailleurs repéré la campagne AOMEI parce qu’un outil de sécurité a remarqué une installation inhabituelle (rapport ManageEngine). Autre leçon : corriger le serveur de l’éditeur stoppe les nouvelles infections, mais ne retire pas la porte dérobée des machines déjà touchées. Le nettoyage reste de votre côté.
Que faire maintenant
- Vérifiez dès aujourd’hui si vous utilisez Rank Math PRO, AOMEI Backupper ou ConnectWise Cloud Backup, et appliquez la procédure de l’éditeur si c’est le cas.
- Activez une alerte sur toute création de compte administrateur, sur vos sites WordPress comme dans votre annuaire Microsoft 365.
- Révoquez les autorisations des applications cloud que vous n’utilisez plus et réduisez celles des autres au strict nécessaire.
- Appliquez un délai de 48 heures aux mises à jour fonctionnelles des extensions et utilitaires, jamais aux correctifs de failles exploitées.
- Testez la restauration d’une sauvegarde hors ligne de votre site et de vos serveurs clés, pour pouvoir revenir à un état sain.
Une mise à jour piégée ne se voit pas à l’installation, mais à ce qu’elle fait ensuite : c’est exactement ce que repère une surveillance continue, avec notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- Une mise à jour piégée passe par le canal officiel de l’éditeur, parfois avec une signature valide.
- Continuer à patcher vite reste indispensable : une faille connue expose bien plus longtemps qu’une version piégée.
- Seules les mises à jour fonctionnelles non critiques méritent un délai court de 48 heures.
- Les permissions accordées aux applications SaaS transforment la compromission d’un éditeur en la vôtre.
- La détection repose sur le comportement après installation, pas sur la provenance du fichier.
Sources
- Rank Math — Rank Math PRO 3.0.123 security incident
- Wordfence — Rank Math SEO PRO 3.0.123 malware
- Google Threat Intelligence — Investigating ephemeral supply chain tampering
- ManageEngine Threat Analysis Lab — AOMEI Backupper supply chain compromise
- The Record — ConnectWise suspends Cloud Backup service after supply chain attack