La sécurité de WordPress représente un enjeu important pour le Web. Derrière les correctifs publiés régulièrement se trouve notamment le travail de chercheurs en cybersécurité qui analysent extensions et thèmes afin d’identifier des vulnérabilités et de contribuer à leur correction.
Parmi ces chercheurs figure Kevin Mosbahi, également connu sous le pseudonyme Mika, un chercheur français en cybersécurité qui s’est notamment spécialisé dans l’analyse de la sécurité de l’écosystème WordPress.
De l’apprentissage de la cybersécurité à la recherche de vulnérabilités
Le parcours de Kevin Mosbahi s’est construit autour de la pratique. Les plateformes d’apprentissage et les environnements de laboratoire ont occupé une place importante dans sa progression, notamment TryHackMe, où il a maintenu une activité quotidienne pendant plus de 2 000 jours.
Cette pratique s’est progressivement accompagnée d’un intérêt plus marqué pour la recherche de vulnérabilités dans des applications réelles et, en particulier, dans les extensions WordPress.
L’écosystème WordPress constitue un terrain de recherche particulièrement vaste. Les nombreuses extensions disponibles ajoutent leurs propres fonctionnalités au CMS et manipulent des données, des permissions utilisateurs, des requêtes AJAX ou encore des endpoints REST. Une erreur dans ces mécanismes peut introduire une vulnérabilité affectant les sites qui utilisent l’extension concernée.
Une spécialisation dans la sécurité des plugins WordPress
Une partie importante du travail de Mika consiste à examiner le code source des extensions pour comprendre leur fonctionnement et identifier des comportements susceptibles d’avoir un impact sur la sécurité.
Cette approche repose notamment sur l’analyse manuelle du code. Il s’agit par exemple d’étudier les contrôles d’autorisation, les rôles et capacités WordPress, les nonces, les entrées utilisateur ou encore les différentes fonctions accessibles depuis une requête HTTP.
Les vulnérabilités découvertes peuvent appartenir à des catégories très différentes : contrôle d’accès insuffisant, Cross-Site Request Forgery (CSRF), Cross-Site Scripting (XSS), élévation de privilèges ou, dans certains cas plus critiques, exécution de code à distance.
Une fois une vulnérabilité identifiée et vérifiée, elle doit être documentée précisément afin de permettre sa reproduction, l’évaluation de son impact et sa correction par les développeurs concernés.
Des centaines de vulnérabilités et CVE référencées
Les travaux de Mika apparaissent aujourd’hui dans plusieurs bases spécialisées dans la sécurité WordPress, notamment Wordfence Intelligence et Patchstack.
Son profil Wordfence référence plus de 700 vulnérabilités associées à ses recherches. Parmi elles figurent plusieurs vulnérabilités ayant obtenu le score critique de 9,8 sur 10 selon CVSS.
C’est notamment le cas d’une vulnérabilité d’élévation de privilèges sans authentification affectant l’extension Agency Toolkit, référencée sous CVE-2024-56066, ainsi que d’une vulnérabilité permettant une exécution de code à distance sans authentification dans Debug Tool, référencée sous CVE-2024-52416.
Ces exemples illustrent la diversité des problèmes qui peuvent être découverts lors de l’audit d’une extension WordPress : certaines failles ont un impact relativement limité, tandis que d’autres peuvent permettre à un attaquant non authentifié d’obtenir des privilèges importants sur un site vulnérable.
La divulgation responsable au cœur du processus
La recherche de vulnérabilités ne consiste pas simplement à démontrer qu’une application présente une faiblesse. Lorsqu’une faille est découverte dans un logiciel utilisé publiquement, sa divulgation responsable doit permettre aux développeurs et aux utilisateurs de réduire le risque associé.
Le processus de divulgation responsable permet notamment de documenter la vulnérabilité, de la transmettre aux acteurs concernés et de laisser la possibilité aux développeurs de publier un correctif.
Les bases de données spécialisées jouent ensuite un rôle important en centralisant ces informations : versions affectées, type de vulnérabilité, score CVSS, identifiant CVE et disponibilité éventuelle d’une version corrigée.
Une contribution à la sécurité de l’écosystème WordPress
Avec plusieurs centaines de vulnérabilités référencées, le parcours de Mika illustre également la place que peut prendre la recherche indépendante dans la sécurité des logiciels open source.
L’analyse manuelle d’une extension, la compréhension de sa logique et l’identification d’un contrôle de sécurité manquant demandent une approche différente de celle d’un simple scan automatisé. Cette recherche approfondie permet parfois de mettre au jour des vulnérabilités difficiles à identifier autrement.
Les recherches, profils publics et différentes publications consacrées à son activité dans la cybersécurité sont aujourd’hui centralisés sur le site de Kevin Mosbahi.
Sources factuelles
TryHackMe — 2000 Days of Learning
Patchstack — Interview with Kevin Mosbahi aka Mika
Wordfence — Researcher profile: Mika
Patchstack — Researcher profile
