WordPress Attack Report : 1,69 million d’attaques de mai à juillet 2026
Du 1er mai au 21 juillet 2026, le réseau ReportedIP a enregistré 1 692 650 attaques provenant de 206 388 adresses IP distinctes. Ce premier WordPress Attack Report trimestriel montre quelles techniques visent le plus souvent les sites WordPress et comment l’exploit wp2shell est apparu dans les données.
La journée la plus chargée a été le 17 juin 2026, avec 29 217 attaques. Tous les chiffres proviennent des signalements du réseau lui-même et peuvent être cités librement sous licence CC BY 4.0.
Combien d’attaques ReportedIP a-t-il enregistrées de mai à juillet 2026 ?
Le réseau a compté 1 692 650 attaques sur les 82 jours allant du 1er mai au 21 juillet 2026. Sept serveurs honeypot, des machines leurres qui imitent des sites WordPress, Drupal et Joomla, en ont enregistré 1 505 488. Les clés API des membres en ont signalé 186 292 de plus, venant de sites WordPress équipés du plugin de sécurité Hive et d’intégrations serveur. Les 870 restantes ont été importées à la main.
- 1 692 650 attaques au total
- 206 388 adresses IP attaquantes distinctes
- 29 217 attaques le jour de pointe, le 17 juin 2026
- 20 642 attaques par jour en moyenne
Dans ce rapport, une attaque correspond à un signalement plus les répétitions regroupées dans celui-ci. Quand la même adresse frappe à nouveau la même cible peu de temps après, le réseau conserve un seul signalement et y compte les répétitions.
Le volume d’attaques a-t-il augmenté ou baissé entre mai et juillet 2026 ?
Le volume d’attaques est resté élevé et régulier. Sur les onze semaines complètes du lundi au dimanche, du 4 mai au 19 juillet, il n’est jamais descendu sous 133 000 attaques par semaine et a culminé à 179 476 dans la semaine du 15 au 21 juin. Cette semaine a aussi compté les deux journées les plus chargées : le 16 juin avec 28 117 attaques et le 17 juin avec 29 217.
Un week-end de cette période fait l’objet de sa propre analyse. Les 23 et 24 mai 2026, le réseau a compté 41 220 attaques dans 37 288 signalements d’attaques provenant de 15 066 adresses. Le rapport du week-end détaille ces deux jours par catégorie et par pays.
Quelles attaques visent le plus souvent les sites WordPress ?
L’essentiel du trafic était générique. 1 183 168 attaques portaient la catégorie Hacking et 246 620 la catégorie générale Brute-Force, deux catégories qui visent tout service exposé. Parmi les catégories WordPress, la force brute sur la connexion via wp-login.php arrive largement en tête. Un signalement peut porter plusieurs catégories, les lignes se recoupent donc.
| Catégorie d’attaque WordPress | Attaques |
|---|---|
| Force brute sur la connexion | 130 856 |
| Force brute via XML-RPC | 23 602 |
| Tentatives d’exploit de plugins | 15 998 |
| Énumération des utilisateurs | 13 768 |
| Fichiers de configuration exposés | 12 660 |
| Scan des plugins | 10 609 |
| Tentatives d’exploit du cœur | 6 227 |
| Scan de version | 5 737 |
La reconnaissance pèse lourd. L’énumération des utilisateurs, la recherche de fichiers de configuration exposés et le scan des plugins ont chacun dépassé 10 000 attaques. Ces requêtes cartographient le site pour l’étape suivante : quels noms d’utilisateur existent, quels plugins sont installés et quels fichiers de sauvegarde traînent sur le serveur.
Comment wp2shell est-il apparu dans les données ?
wp2shell a été divulgué le 17 juillet 2026, le jour même où WordPress a publié le correctif dans la version 7.0.2. C’est une chaîne d’exécution de code à distance sans authentification dans le cœur de WordPress, qui combine une injection SQL (CVE-2026-60137) et une confusion de routes dans les requêtes REST batch (CVE-2026-63030). L’analyse technique de Rapid7 décrit la chaîne en détail. La CISA a ajouté les deux CVE à son catalogue de vulnérabilités activement exploitées le 21 juillet.
Les signalements de la catégorie d’abus de l’API REST de WordPress ont augmenté autour de la divulgation. Du 11 au 17 juillet, le réseau en a reçu entre 0 et 4 par jour, du 18 au 20 juillet 8 par jour. Les chiffres absolus sont faibles, mais la hausse commence le lendemain de la divulgation.
Hive a livré deux règles de pare-feu deux jours après la divulgation
Le 19 juillet 2026, Hive 2.1.25 a ajouté les règles waf_rest_batch_desync et waf_rest_batch_nested à son Web Application Firewall. Les deux font partie de la base gratuite Paranoia-Level-1 et s’appliquent donc sur toutes les offres dès qu’un site utilise Hive 2.1.25 ou une version plus récente. L’étape de la chaîne qui crée un compte administrateur repose sur UNION SELECT, que la règle gratuite waf_sqli_union bloquait déjà avant cette version.
Les deux nouvelles règles reconnaissent la forme de la requête batch malformée plutôt qu’une chaîne fixe. Les barres obliques en trop, les URL relatives au protocole et les URL absolues ne passent pas, les appels batch normaux passent. Une règle de pare-feu couvre le délai jusqu’à ce que chaque site ait la mise à jour du cœur. Elle ne remplace pas le correctif de WordPress.
L’offre Professional ajoute les jeux de règles avancés
Une RCE comme wp2shell est généralement suivie du téléversement d’un web shell. L’offre Professional ajoute les jeux de règles Paranoia-Level-2 et Level-3, dont le groupe web shell, via une synchronisation de règles signée Ed25519. Les installations gratuites reçoivent les nouvelles règles avec les versions du plugin, les installations Professional dès leur publication.
Comment les données ont-elles été collectées ?
Tous les chiffres comptent les signalements de la base de signalements de ReportedIP du 1er mai au 21 juillet 2026 (heure de Berlin), répétitions comprises. Les catégories suivent les 63 catégories de menaces de la plateforme. Un signalement contient l’IP de l’attaquant, la catégorie et l’heure. Aucun user agent n’est transmis par défaut, et aucun chiffre publié ne permet d’identifier un contributeur.
Les chiffres ont été comptés pour la publication du 23 juillet 2026. Un nouveau comptage le 29 septembre 2026 donne 1 692 614 attaques provenant de 206 378 adresses, car certains enregistrements ont été supprimés depuis.
Les mêmes données alimentent la Community Blacklist. Une adresse y entre à partir d’un score de confiance de 75 %, une fois que son dernier signalement date d’au moins 48 heures.
Réutilisation et données sur mesure
Tous les chiffres et le graphique de ce rapport sont publiés sous licence CC BY 4.0. Vous pouvez les reprendre dans des articles, des études ou des conférences avec un lien vers reportedip.com. Pour une période sur mesure, une répartition par pays ou une citation, écrivez à Patrick Schlesinger à 1@reportedip.com. Les archives des rapports se trouvent sur la page Threat Reports.
Que doivent retenir les administrateurs WordPress de ces chiffres ?
- Prévoir une charge permanente. Les attaques automatisées ne sont jamais descendues sous 133 000 par semaine sur ce trimestre.
- Protéger la connexion et XML-RPC. La force brute sur la connexion et via XML-RPC mène les catégories WordPress avec 130 856 et 23 602 attaques.
- Combler le délai de correctif avec un pare-feu. wp2shell a montré l’écart entre la divulgation et la mise à jour du cœur, et une règle de pare-feu le couvre.
- Tenir les plugins à jour. Les règles qui arrêtent wp2shell existent à partir de Hive 2.1.25. Voir les tarifs pour la synchronisation de règles Professional.
Questions fréquentes
Combien d’attaques ReportedIP a-t-il enregistrées de mai à juillet 2026 ?
ReportedIP a enregistré 1 692 650 attaques provenant de 206 388 adresses IP distinctes entre le 1er mai et le 21 juillet 2026. Les serveurs honeypot en ont enregistré 1 505 488, les sites membres et les intégrations serveur en ont signalé 186 292. La journée la plus chargée a été le 17 juin avec 29 217 attaques, la semaine la plus chargée celle du 15 au 21 juin.
Quelle attaque visait le plus souvent les sites WordPress ?
La force brute sur la connexion via wp-login.php a été l’attaque WordPress la plus fréquente, avec 130 856 attaques entre le 1er mai et le 21 juillet 2026. Suivent la force brute via XML-RPC avec 23 602 attaques et les tentatives d’exploit de plugins avec 15 998. L’énumération des utilisateurs, la recherche de fichiers de configuration et le scan des plugins ont chacun dépassé 10 000 attaques.
Les sites Hive gratuits étaient-ils protégés contre wp2shell ?
Les sites Hive gratuits étaient protégés dès leur mise à jour vers Hive 2.1.25, publié le 19 juillet 2026. Les deux règles contre wp2shell font partie de la base gratuite Paranoia-Level-1, livrée avec le plugin sur toutes les offres. Le pare-feu couvre le délai jusqu’au cœur WordPress corrigé, qui reste la vraie solution.
Pour aller plus loin
- Obtenir Hive pour WordPress : 16 capteurs, le pare-feu et quatre méthodes 2FA dans un seul plugin.
- wp2shell expliqué : les deux failles, la chaîne et comment la bloquer.
- Guide du serveur honeypot : exploitez votre propre capteur et contribuez au prochain rapport.