WPScan

Définition

WPScan désigne un outil open source spécialisé dans l'audit de sécurité des sites fonctionnant sous le système de gestion de contenu WordPress, capable d'identifier la version exacte du cœur WordPress installée, de cartographier l'ensemble des extensions et thèmes actifs avec leur version respective, et de confronter ces éléments à une base de données de vulnérabilités connues spécifiquement documentées pour l'écosystème WordPress, régulièrement mise à jour à mesure que de nouvelles failles sont publiquement divulguées. L'outil peut également mener des attaques d'énumération d'utilisateurs et des tests de force brute ciblés sur l'interface d'administration WordPress, une cible fréquente compte tenu de la part de marché considérable de ce système de gestion de contenu à l'échelle mondiale, qui en fait une cible privilégiée des campagnes d'attaque automatisées à grande échelle sur Internet. Compte tenu du modèle de plugins tiers ouvert de WordPress, une part importante des vulnérabilités identifiées par WPScan concerne des extensions développées par des tiers plutôt que le cœur du logiciel lui-même, souvent maintenues avec un niveau de rigueur de sécurité variable. Pour une organisation exploitant WordPress, la contre-mesure repose sur une politique stricte de mise à jour rapide du cœur et de l'ensemble des extensions installées, la suppression des extensions et thèmes inutilisés, et l'exécution régulière d'un audit WPScan pour détecter proactivement les composants vulnérables présents sur le site.