Faille de l'extension Post SMTP exploitée pour voler des comptes : passez à 3.6.1 ou plus
Post SMTP permettait à n'importe qui de lire les courriels du site, y compris les liens de réinitialisation de mot de passe.
Concerne :Post SMTP 3.6.0 et antérieures
Fin octobre 2025, l'éditeur de Post SMTP, une extension d'envoi de courriels que Wordfence recense sur plus de 400 000 sites WordPress, a publié la version 3.6.1 pour corriger une faille critique (CVE-2025-11833). Le correctif est sorti le 29 octobre 2025. Auparavant, n'importe qui, sans compte, pouvait lire les courriels enregistrés par l'extension, y compris les messages de réinitialisation de mot de passe. Un attaquant pouvait donc demander la réinitialisation du mot de passe de l'administrateur, lire le lien dans le journal et prendre le contrôle du site.
Selon Wordfence, les attaques ont commencé le 1er novembre 2025, le lendemain de l'ajout de la faille à sa base de données, et l'exploitation massive le 2 novembre. Au 19 novembre, son pare-feu avait bloqué plus de 10 300 tentatives.
Si votre site a été mis à jour depuis, vous êtes très probablement déjà protégé, mais vérifiez la version.
Qui est concerné
- Les sites qui utilisent Post SMTP en version 3.6.0 ou antérieure.
- Le risque existe dès que l'extension enregistre les courriels, ce qui est l'une de ses fonctions principales.
Comment vérifier votre site
- Dans WordPress, ouvrez Extensions et repérez Post SMTP. Le numéro de version s'affiche sous son nom.
- Si elle indique 3.6.0 ou moins, le site était exposé.
- Ouvrez Utilisateurs et filtrez par Administrateur. Cherchez des comptes que vous ne reconnaissez pas.
- Rappelez-vous : avez-vous reçu, vous ou un collègue, un courriel de réinitialisation de mot de passe inattendu, ou un mot de passe administrateur a-t-il cessé de fonctionner ?
Quoi faire maintenant
- Mettez Post SMTP à jour vers la dernière version depuis la page Extensions (3.6.1 ou plus).
- Si le site a longtemps tourné avec une ancienne version, changez le mot de passe de tous les comptes administrateurs, en commençant par le vôtre.
- Si vous trouvez un administrateur inconnu ou une extension que vous n'avez pas installée, considérez le site comme compromis et faites-le nettoyer par votre hébergeur ou un professionnel de la sécurité.
- Activez les mises à jour automatiques de cette extension depuis la page Extensions pour recevoir les prochains correctifs sans attendre.
Cette alerte reprend ce que les sources ci-dessous ont publié et ne constitue pas une garantie pour un site en particulier.