Une importante alerte de sécurité concerne actuellement plusieurs extensions WordPress développées par BdThemes, notamment le très populaire Element Pack pour Elementor.
Contrairement à une faille classique, le problème ne provient pas directement d’un fichier infecté présent dans les extensions distribuées sur WordPress.org.
Les pirates sont parvenus à compromettre un serveur utilisé par BdThemes pour envoyer des informations et des messages promotionnels aux extensions installées sur les sites de leurs clients.
Lorsqu’un administrateur se connectait à son tableau de bord WordPress, son site pouvait alors recevoir du code malveillant provenant directement de l’infrastructure de BdThemes.
Que pouvait faire le pirate ?
L’attaque pouvait notamment :
- créer secrètement un nouveau compte administrateur ;
- installer une extension malveillante ;
- ajouter une porte dérobée permettant aux pirates de revenir ultérieurement sur le site ;
- dissimuler certains comptes pirates dans l’interface de WordPress.
Dans ce cas, le site peut donc être totalement compromis.
Particularité inquiétante : les fichiers d’origine de l’extension BdThemes n’étaient pas nécessairement modifiés. Un contrôle classique vérifiant uniquement si les fichiers des extensions ont changé peut donc ne rien détecter.
Quelles extensions sont concernées ?
Wordfence cite actuellement les extensions suivantes :
- Element Pack Addons for Elementor
- Prime Slider Addons for Elementor
- Pixel Gallery Addons for Elementor
- Ultimate Post Kit
- Ultimate Store Kit
- Live Copy Paste for Elementor
- Smart Admin Assistant
Ces extensions ont temporairement été retirées du catalogue WordPress pendant l’enquête.
Que faut-il faire ?
Si votre site utilise ou a récemment utilisé l’une de ces extensions, une simple mise à jour de WordPress ou du plugin ne suffit pas nécessairement.
Il est recommandé de contrôler le site à la recherche de nouveaux comptes administrateurs inconnus, d’extensions suspectes et de fichiers malveillants.
Pour un utilisateur non technique, la solution la plus prudente est de contacter rapidement son webmaster ou son hébergeur afin de faire contrôler le site.
L’infrastructure utilisée pour diffuser le code malveillant avait été nettoyée au 8 août, selon Wordfence. En revanche, les sites infectés avant cette date peuvent toujours contenir les accès installés par les pirates.
Cette attaque rappelle qu’un site WordPress peut être compromis même lorsque ses extensions proviennent d’une source normalement considérée comme fiable.
Source : enquête publiée par Wordfence le 8 août 2026.
