Une faille de type CSRF dans Elementor, l’un des constructeurs de pages WordPress les plus installés au monde, permet à un attaquant de créer un compte administrateur sur votre site si l’un de vos administrateurs clique sur un lien piégé. Les versions 4.3.0 et 4.3.1 sont concernées, le correctif est la version 4.3.2 : la mise à jour prend deux minutes et doit être faite aujourd’hui.
Ce que permet exactement la faille Elementor
CSRF signifie Cross-Site Request Forgery : l’attaquant ne force pas votre serveur, il fait exécuter une action par votre propre navigateur, alors que vous êtes déjà connecté en tant qu’administrateur. Concrètement, la victime reçoit un lien — par email, par message, depuis un commentaire ou un site tiers — et le simple fait de l’ouvrir dans le navigateur où la session WordPress est ouverte déclenche la création d’un nouveau compte administrateur contrôlé par l’attaquant.
La particularité de cette faille est qu’elle contourne les protections CSRF déjà présentes dans WordPress. Le cœur de WordPress se protège avec des nonces, des jetons à usage unique vérifiés à chaque action sensible. Ici, la requête passe par l’API REST du site, un chemin où la vérification n’était pas appliquée correctement par l’extension. Le résultat est le pire scénario pour un site web : un accès administrateur légitime, persistant, qui survit à un changement de mot de passe et ne déclenche aucune alerte antivirus.
Une fois ce compte en place, la suite est mécanique : installation d’une extension malveillante, injection de redirections vers des sites frauduleux, vol des données clients de la boutique, ou utilisation de votre domaine comme relais de phishing. Votre réputation de domaine paie l’addition avant que vous ne remarquiez quoi que ce soit.
Pourquoi une PME est particulièrement exposée
Elementor équipe une part énorme des sites vitrines et des boutiques de PME françaises, souvent construits par une agence puis laissés en autonomie. Trois facteurs se combinent et rendent l’exploitation facile.
- Les mises à jour automatiques sont désactivées sur les extensions premium, par peur de casser la mise en page — un réflexe compréhensible qui laisse les correctifs de sécurité au placard pendant des semaines.
- Le compte administrateur est partagé entre le dirigeant, l’agence et parfois un prestataire marketing, ce qui multiplie les navigateurs où une session WordPress reste ouverte en permanence.
- Personne ne regarde la liste des utilisateurs. Un compte administrateur supplémentaire peut rester en place des mois sans être remarqué, surtout s’il porte un nom crédible.
C’est ce qui distingue cette faille d’une RCE classique : elle n’a pas besoin que votre serveur soit exposé ou mal configuré. Elle a besoin d’un seul clic, par une seule personne, une seule fois.
Comment savoir si votre site a été touché
Il n’y a pas d’indicateur technique complexe à chercher. Le signal principal est la présence d’un compte à privilèges que vous n’avez pas créé. Dans l’administration WordPress, ouvrez Utilisateurs, filtrez sur le rôle Administrateur et vérifiez chaque ligne : chaque compte doit correspondre à une personne que vous pouvez nommer, avec une adresse email de votre domaine ou de celui de votre agence. Une adresse en domaine jetable, un nom générique du type admin, wpsupport ou backup, ou une date d’inscription récente que personne ne s’explique sont des motifs suffisants pour déclencher une vérification sérieuse.
Regardez ensuite la liste des extensions installées et désactivées : les compromissions WordPress passent presque toujours par une extension ajoutée après coup, parfois laissée désactivée pour rester discrète. Si votre hébergeur conserve les journaux d’accès, cherchez les requêtes vers les chemins /wp-json/ à des horaires où personne ne travaille.
Que faire maintenant
- Vérifiez la version d’Elementor installée sur chacun de vos sites, dans Extensions. Si elle affiche 4.3.0 ou 4.3.1, vous êtes concerné.
- Appliquez la mise à jour en 4.3.2 immédiatement, sans attendre la prochaine fenêtre de maintenance. Prenez une sauvegarde avant, puis contrôlez l’affichage de la page d’accueil et d’une page de formulaire après.
- Passez en revue les comptes administrateurs et supprimez tout compte que vous ne pouvez pas rattacher à une personne identifiée. Réinitialisez les mots de passe des comptes légitimes au passage.
- Restreignez le nombre d’administrateurs à deux ou trois au maximum, et basculez les autres en rôle Éditeur. Activez l’authentification multifacteur sur les comptes restants.
- Planifiez une revue mensuelle des versions d’extensions et de la liste des utilisateurs, avec un responsable nommé — c’est la seule mesure qui évitera de revivre la même urgence au prochain avis de sécurité.
Une création de compte administrateur illégitime se détecte en quelques minutes quand quelqu’un surveille les événements d’authentification en continu : c’est exactement le rôle de notre SOC managé 24/7 pour PME et ETI.
Ce schéma d’attaque n’est pas isolé : nous avons déjà documenté des cas très proches avec la faille zero-click du thème Avada et avec l’extension The Events Calendar. Dans les trois cas, le correctif existait avant l’exploitation.
Ce qu’il faut retenir
- Elementor 4.3.0 et 4.3.1 permettent la création d’un compte administrateur via un simple lien piégé ; le correctif est la version 4.3.2.
- La faille contourne les protections CSRF de WordPress en passant par l’API REST, donc aucune configuration serveur ne vous protège.
- Un seul clic d’un administrateur connecté suffit : le risque est humain autant que technique.
- Après la mise à jour, la vérification de la liste des administrateurs est la seule façon de savoir si vous avez été touché.
- Limiter les comptes à privilèges et activer le MFA réduit l’impact de la prochaine faille du même type.