WordPress piraté ? Où regarder, et quoi faire (même contre les malwares qui reviennent)

Quelque chose cloche sur votre site. Des pages inconnues apparaissent sur Google, des visiteurs sont redirigés ailleurs, votre hébergeur vous a envoyé une alerte. Le pire réflexe, c’est de tout effacer dans la précipitation. Voici où regarder, et dans quel ordre agir.

À savoir d’abord : certains malwares reviennent après le ménage

En octobre 2026, la société de sécurité Sucuri a décrit un malware WordPress baptisé « SC ». Il cache des copies de lui-même dans au moins huit endroits, et chacune peut reconstruire toutes les autres.

• Des fichiers (wp-content/advanced-cache.php, les mu-plugins, une copie d’extension, une archive ZIP)
• La base de données
• La mémoire du serveur (mémoire partagée) : même avec des fichiers et une base propres, il revient depuis la copie restée en mémoire

En plus, il se cache de l’administration, crée un compte administrateur invisible, et peut injecter du code chez vos visiteurs (des skimmers qui volent les cartes bancaires, par exemple).

Autrement dit, un nettoyage « fichier par fichier » est conçu pour échouer.

Où vérifier

Règle n° 1 : ne faites pas confiance à la seule administration. Sur un site piraté, elle peut mentir.

• Google : tapez site:votre-domaine.fr et cherchez des pages que vous ne connaissez pas (spam, produits douteux)
• Search Console : un avertissement dans Problèmes de sécurité ?
• Votre hébergeur : une alerte malware, une consommation de CPU ou de mémoire anormale ?
• Les fichiers : des fichiers .php dans wp-content/uploads ? Des fichiers inconnus dans wp-content/mu-plugins ? Un wp-content/advanced-cache.php alors que vous n’utilisez pas d’extension de cache ? (Certains hébergeurs le créent pour leur propre cache : demandez-leur avant d’y toucher)
• Les comptes : un administrateur inconnu dans Comptes ? Attention, les malwares comme SC s’y cachent : une liste propre ne prouve rien. Si possible, regardez aussi la liste des utilisateurs directement dans la base (via phpMyAdmin chez votre hébergeur)

Quoi faire (l’ordre compte)

1. Noter : ce que vous trouvez (adresses, noms de fichiers, dates), en captures d’écran. On efface après
2. Prévenir votre hébergeur : beaucoup aident à l’analyse et à la remise en état. Vider la mémoire partagée demande parfois une action côté serveur (redémarrer PHP ou le serveur)
3. Restaurer une sauvegarde saine : une sauvegarde d’avant l’infection, c’est le plus sûr. Si vous ne savez pas depuis quand le site est touché, faites appel à un spécialiste
4. Fermer la porte : WordPress, extensions, thèmes, et PHP à jour. Récemment, c’est PHP lui-même qui servait d’entrée, avec PHP2Shell
5. Changer toutes les clés : mots de passe de tous les administrateurs, de la base de données, de l’hébergement et du FTP, et les « clés de salage » de wp-config.php (ce qui déconnecte tout le monde)

Pour la suite

• Une sauvegarde automatique quotidienne, hors du serveur : une sauvegarde stockée sur un serveur piraté peut être contaminée
• Supprimez les extensions et thèmes inutilisés : désactivés, leurs fichiers restent là
• Le moins d’administrateurs possible : travaillez au quotidien avec un compte aux droits réduits

Si une IA est connectée à votre WordPress, elle agit avec les droits de la personne qui l’a autorisée : limiter les administrateurs, c’est donc aussi limiter les risques. Voyez Confier son site WordPress à un agent IA.