WordPress Attack Report : 1,69 million d'attaques, mai-juillet 2026
Entre le 1er mai et le 21 juillet 2026, le Community Network ReportedIP a enregistré 1 692 650 attaques provenant de 206 388 adresses IP uniques — chiffres mesurés, et non estimés, par des Honeypot Server et des sites WordPress équipés du plugin de sécurité Hive. Il s’agit du premier WordPress Attack Report trimestriel de ReportedIP ; tous les chiffres ci-dessous proviennent directement de l’ensemble de données en temps réel et peuvent être cités librement sous licence CC BY 4.0.
La journée la plus chargée a été celle du 17 juin, avec 29 217 attaques. Les attaques Brute Force sur les identifiants de Login ont été de loin la technique la plus courante ciblant spécifiquement WordPress, et un incident s’est particulièrement démarqué : la vulnérabilité RCE sans authentification « wp2shell » (CVE-2026-63030), pour laquelle Hive a déployé un correctif virtuel le jour même sur toutes ses offres.
Combien d’attaques y a-t-il eu, et d’où proviennent ces chiffres ?
Deux sources alimentent l’ensemble de données. Un parc de huit Honeypot Servers imitant des Endpoints WordPress, Drupal et Joomla a enregistré 1 505 488 attaques ; les sites WordPress de production exécutant Hive en mode « Community Network » ont signalé les 186 292 autres attaques via la Public API. Les Reports sont agrégés, dédupliqués pour les pics d’activité, pondérés en fonction de leur actualité et de la diversité des sources, puis notés selon une échelle de confiance de 0 à 100. Aucune donnée personnelle des visiteurs des sites n’est collectée, et l’identité des sources n’est jamais publiée — seuls les chiffres agrégés quittent le réseau.
- 1 692 650 attaques au total (signalements individuels et événements regroupés par rafales)
- 206 388 adresses IP uniques à l’origine des attaques
- 29 217 attaques le jour où le nombre de visites a atteint son pic (le 17 juin 2026)
- Environ 20 600 attaques par jour en moyenne sur cette période de 82 jours
Le nombre d’attaques a-t-il augmenté ou diminué au cours du trimestre ?
Le volume des attaques est resté élevé et remarquablement stable. Sur l’ensemble des onze semaines complètes de la période considérée, le nombre d’attaques hebdomadaires s’est maintenu entre 133 462 et 179 476, avec un pic lors de la semaine du 15 au 21 juin — la même semaine que celle où le pic journalier a été enregistré le 17 juin. Il n’y a pas eu de période calme : les attaques automatisées contre WordPress constituent une charge constante en arrière-plan, et non un événement ponctuel.
Quels sont les cibles des pirates sur les sites WordPress ?
La majeure partie du trafic est constituée d’attaques d’Hacking génériques et d’attaques de Brute Force visant les identifiants de Login exposés. Cependant, l’analyse spécifique à WordPress met en évidence les points sur lesquels les administrateurs de CMS devraient se concentrer. Les attaques de Brute Force contre les identifiants de Login wp-login.php dépasse largement toutes les autres attaques, tandis que la reconnaissance — User Enumeration et analyse des versions/plugins — représente une part importante, souvent négligée.
| Vecteur d’attaque WordPress | Attaques (fenêtre de signalement) |
|---|---|
Attaque Brute-Force lors du Login (wp-login.php) | 130 856 |
| Abus du protocole XML-RPC | 23 602 |
| Analyse des versions et des plugins | 23 269 |
| Tentatives d’exploitation de plugins | 15 998 |
| User Enumeration | 13 768 |
| Tentatives d’exploitation du noyau | 6 227 |
Étude de cas : comment s’est déroulée l’opération « wp2shell »
Le 19 juillet 2026, la technique « wp2shell » a été révélée : il s’agit d’une chaîne d’exécution de code à distance sans authentification visant le cœur de WordPress, répertoriée sous le numéro CVE-2026-63030. Elle exploite l’analyse des routes de l’endpoint REST « batch » pour faire passer en contrebande une sous-requête privilégiée au-delà de l’authentification. Notre capteur de détection d’abus REST a enregistré la hausse attendue des tentatives d’exploration de l’endpoint « batch » dans les jours qui ont suivi la divulgation.
Le même jour, ReportedIP Hive 2.1.25 a publié deux Firewall Rules — waf_rest_batch_desync et waf_rest_batch_nested — qui bloquent la technique de « route confusion » au niveau de la couche WAF. Ces deux règles font partie de la base de référence gratuite « Paranoia Level-1 » fournie avec le plugin dans toutes les formules, y compris la version gratuite — un site est protégé dès qu’il effectue la mise à jour vers la version 2.1.25, sans qu’aucun abonnement à Rule Sync ne soit nécessaire (version 2.1.25, 19 juillet). Les règles s’adaptent à la structure de la requête mal formée plutôt qu’à une chaîne de Payload fixe ; ainsi, les techniques d’évasion courantes (barres obliques supplémentaires, URL relatives au protocole ou absolues) ne parviennent pas à passer entre les mailles du filet — un comportement validé par des tests de régression dans la suite de tests du plugin. Les sites fonctionnant sous la version 2.1.25 ou une version ultérieure étaient protégés contre cette catégorie d’attaques, quelle que soit la date à laquelle ils avaient appliqué le correctif du cœur de WordPress.
En quoi Hive PRO va plus loin
La base de référence qui a bloqué wp2shell est gratuite. La version PRO apporte davantage de profondeur et de rapidité lors de la phase post-exploitation. Un RCE tel que wp2shell est généralement suivi du téléchargement d’un webshell afin d’assurer la persistance ; Hive PRO fournit les signatures étendues du pare-feu PL2 — y compris le groupe de règles relatives aux webshells et aux abus de téléchargement — via une Rule Sync quotidienne signée avec Ed25519. Les installations gratuites reçoivent les nouvelles règles avec les versions du plugin ; les installations PRO les reçoivent dès leur publication, ce qui réduit la fenêtre d’exposition lorsqu’une technique est activement exploitée.
Modalités de collecte des données
Tous les chiffres sont tirés du reportedip_ip_reports tableau couvrant la période du 1er mai au 21 juillet 2026, en comptabilisant les rapports individuels ainsi que leur multiplicateur d’agrégation par rafale. Les chiffres par catégorie s’appuient sur les 30 Threat Categories de la plateforme. Les rapports « Honeypot » et « Hive » sont anonymisés lors de leur intégration : par défaut, aucun agent utilisateur des visiteurs du site n’est renseigné, et aucune adresse IP ni identité de l’auteur du rapport n’apparaît dans les chiffres publiés. La Community Blacklist dérivée de ces données n’enregistre une adresse IP qu’à partir d’un niveau de confiance de 75 % ou plus, après un délai de 48 heures.
Utilisez ces chiffres
Tous les graphiques et tableaux de ce rapport sont sous licence CC BY 4.0 — vous pouvez les réutiliser dans des articles, des publications ou des présentations en mentionnant reportedIP.com comme source. Pour obtenir une période personnalisée, une ventilation par pays, des données brutes agrégées ou une citation, veuillez contacter Patrick Schlesinger à l’adresse 1@reportedIP.com. La méthodologie complète et les archives des Threat Reports sont disponibles sur la page « Threat Reports ».
Ce que cela implique pour les administrateurs de sites WordPress
- On suppose une charge constante. Il n’y a pas de période de faible trafic : les attaques automatisées se sont élevées à plus de 133 000 par semaine pendant tout le trimestre.
- Limitez le nombre de tentatives de Login et d’appels XML-RPC. Ces deux types de requêtes représentent la majeure partie des tentatives spécifiques à WordPress et peuvent être facilement limités.
- Le « virtual-patch » est plus rapide que le « core-patch ». La fenêtre « wp2shell » met en évidence le délai entre la divulgation d’une faille et l’application d’un correctif — un WAF permet de combler ce délai. Installez Hive ; la configuration de base du pare-feu est gratuite.
- Utilisez les versions actuelles. Les règles permettant de bloquer wp2shell ne sont disponibles qu’à partir de la version 2.1.25 ; Rule Sync, la synchronisation quotidienne des règles de la version PRO, garantit que cette protection reste à jour. Comparez les formules.
Le prochain WordPress Attack Report de ReportedIP porte sur le troisième trimestre 2026. Chaque installation de Hive et chaque honeypot enrichissent l’ensemble de données : installez le plugin ou lancez un honeypot pour y contribuer.