Alerte sécurité WordPress : ce qu’il faut faire suite à l’attaque de juin 2026 contre Awesome Motive

Ce qui s’est passé : une attaque en chaîne d’une rare ampleur

L’affaire est complexe parce qu’elle combine deux incidents distincts mais liés, tous deux survenus la même semaine en juin 2026.

Incident 1 : la faille UpdraftPlus qui a tout déclenché

UpdraftPlus est l’un des plugins de sauvegarde les plus populaires de WordPress, installé sur environ 3 millions de sites. Début juin 2026, une vulnérabilité critique a été identifiée. Et c’est par cette faille que toute la suite s’est enchaînée.

L’éditeur Awesome Motive (qui possède notamment OptinMonster, MonsterInsights, AIOSEO, WPForms) utilisait UpdraftPlus sur l’un de ses serveurs marketing. Les attaquants ont exploité la faille pour entrer sur ce serveur.

Incident 2 : l’attaque supply chain via le CDN

Une fois dans le serveur d’Awesome Motive, les attaquants ont récupéré une clé API du CDN (le système qui distribue les fichiers JavaScript des plugins aux sites clients).

Avec cette clé, ils ont injecté du code malveillant dans les fichiers JavaScript de trois plugins distribués via ce CDN : OptinMonster (1,2 million de sites), TrustPulse et PushEngage.

Ces fichiers JavaScript piégés ont ensuite été automatiquement chargés sur tous les sites utilisateurs de ces plugins. Sans que personne ne soupçonne quoi que ce soit, puisqu’ils venaient d’une source de confiance.

Incident 3 : MonsterInsights piraté en parallèle

Au même moment, le site officiel de MonsterInsights (2 millions de sites WordPress) a aussi été compromis. Une vulnérabilité critique (CVE-2026-5371) a été identifiée dans le plugin, et le site officiel envoyait des emails de phishing à ses clients.

Quels plugins sont concernés exactement ?

Voici le tableau clair des plugins touchés et de leur niveau de risque.

🔴 Plugins directement compromis

Ces plugins ont distribué du code malveillant à leurs utilisateurs :

• OptinMonster (1,2 million de sites) – JavaScript malveillant injecté via CDN entre le 12 et 14 juin 2026
• TrustPulse – même attaque, même période
• PushEngage – même attaque, fin de période d’infection : 14 juin

🟠 Plugin avec vulnérabilité critique distincte

• MonsterInsights (2 millions de sites) – faille CVE-2026-5371, mettre à jour vers la version 10.1.3 ou supérieure immédiatement

🟡 Plugin point d’entrée de l’attaque

• UpdraftPlus (3 millions de sites) – la vulnérabilité utilisée pour rentrer chez Awesome Motive est connue, si vous ne l’avez pas mis à jour, votre site est aussi vulnérable au même type d’attaque

🟢 Autres plugins Awesome Motive non confirmés mais à surveiller

Les chercheurs en sécurité de Sansec ont alerté sur le fait que d’autres plugins d’Awesome Motive pourraient être à risque, même si rien n’est confirmé à ce jour :

• WPForms (plus de 6 millions de sites)
• All in One SEO (AIOSEO) (environ 3 millions de sites)

Par précaution, vérifiez aussi ces deux-là.

Comment savoir si votre site WordPress a été compromis ?

Le piège de cette attaque, c’est qu’elle est invisible pour les visiteurs normaux. Le code malveillant ne se déclenche que quand un administrateur connecté visite une page du site infecté. Donc votre site peut paraître normal en surface tout en étant complètement compromis.

1. Vérifiez la liste de vos administrateurs

Allez dans Utilisateurs → Tous les utilisateurs dans votre admin WordPress. Cherchez :

• Un compte nommé developer_api1 (associé à )
• Tout compte au format dev_xxxxxx (où xxxxxx est aléatoire)
• Tout compte administrateur que vous ne reconnaissez pas

Si vous trouvez l’un de ces comptes, votre site est compromis.

2. Cherchez les plugins de backdoor cachés

Les attaquants installent des plugins qui se cachent du tableau de bord WordPress. Il faut chercher directement dans les fichiers du serveur (via FTP, gestionnaire de fichiers de l’hébergeur, ou ligne de commande).

Allez dans wp-content/plugins/ et cherchez :

• Un dossier nommé content-delivery-helper (souvent affiché comme « Content Delivery Helper »)
• Un dossier nommé database-optimizer (souvent affiché comme « Database Optimizer »)

Ces deux noms sont les signatures classiques de cette attaque. Si vous les trouvez, supprimez-les immédiatement.

3. Vérifiez vos versions de plugins

Dans Extensions → Extensions installées, vérifiez que vous utilisez bien :

• MonsterInsights version 10.1.3 ou supérieure
• UpdraftPlus dernière version stable de juin 2026
• OptinMonster, TrustPulse, PushEngage dernières versions
• WPForms et AIOSEO mis à jour par précaution

4. Scannez votre site avec un outil de sécurité

Lancez un scan complet avec un plugin comme Wordfence, Solid Security (anciennement iThemes Security) ou Sucuri. Ces outils peuvent détecter les signatures connues de l’attaque.

Que faire si votre site est compromis ?

⚠️ Si vous avez trouvé ne serait-ce qu’un seul des indicateurs ci-dessus, considérez votre site comme totalement compromis. Les attaquants ont eu un accès administrateur complet, et peuvent avoir installé d’autres backdoors qu’on n’a pas encore identifiés.

La procédure de remise en état :

• Supprimer les comptes administrateurs frauduleux (developer_api1 et dev_xxxxxx)
• Supprimer les plugins de backdoor (content-delivery-helper, database-optimizer)
• Changer tous les mots de passe administrateurs sans exception
• Régénérer les clés de sécurité WordPress (dans le fichier wp-config.php, les sels SECURE_AUTH_KEY, LOGGED_IN_KEY, etc.)
• Révoquer toutes les clés API présentes sur votre site (Google Analytics, Stripe, services tiers)
• Changer le mot de passe de votre base de données
• Lancer un scan complet avec Wordfence ou équivalent
• Restaurer depuis une sauvegarde propre datant d’avant le 12 juin 2026 si possible
• Mettre à jour tous les plugins vers leurs dernières versions

Si vous n’êtes pas à l’aise techniquement, faites appel à un professionnel immédiatement. Plus vous attendez, plus les dégâts s’aggravent.

La leçon : pourquoi cette attaque change tout

Cette attaque est révélatrice de l’évolution des menaces contre WordPress en 2026.

Une attaque « supply chain » comme on en verra de plus en plus

Avant, les attaques visaient directement les sites individuels en cherchant des failles dans WordPress ou ses plugins. Aujourd’hui, les attaquants visent les éditeurs eux-mêmes. Compromettre un seul éditeur permet d’infecter des millions de sites d’un coup.

C’est exactement ce qui s’est passé avec l’attaque Polyfill de 2024, et c’est ce qui vient de se passer avec Awesome Motive. On verra ce schéma se reproduire.

Les plugins populaires ne sont plus une garantie de sécurité

On a longtemps pensé que choisir des plugins très populaires était un gage de sécurité. Cette attaque montre l’inverse : plus un plugin est populaire, plus il devient une cible attractive. Et son éditeur aussi.

Ça ne veut pas dire qu’il faut les abandonner. Ça veut dire qu’il faut les surveiller activement et les maintenir à jour en permanence.

Les mises à jour ne suffisent plus, il faut de la surveillance

Dans cette attaque, même les sites qui étaient à jour ont été compromis. Le code malveillant venait directement du CDN officiel. La seule façon de détecter le problème, c’était de surveiller activement :

• Les comptes utilisateurs créés (les comptes frauduleux apparaissent à toute heure)
• Les fichiers modifiés dans wp-content/plugins
• Les requêtes réseau sortantes anormales
• Les changements dans la base de données

C’est exactement le travail d’un service de maintenance et sécurité WordPress sérieux.

Vous voulez dormir tranquille ? Confiez votre sécurité à un pro

Cet incident de juin 2026 va générer des milliers de sites WordPress piratés dans les semaines qui viennent. Beaucoup s’en apercevront trop tard : Google les déclassera, leur hébergeur les suspendra, leurs visiteurs verront du spam à la place de leur contenu.

Si vous gérez votre site seul et que vous n’avez ni le temps ni les compétences pour faire cette surveillance, vous êtes une cible facile.

Je propose un service de maintenance et sécurité WordPress complet pour les artisans, TPE et PME :

• Surveillance active des comptes utilisateurs, fichiers et activité suspecte
• Mises à jour testées des plugins, thèmes et cœur WordPress
• Sauvegardes externalisées automatiques et vérifiées
• Scan sécurité régulier avec Wordfence Premium
• Intervention rapide en cas d’alerte ou de compromission
• Rapport mensuel clair sur ce qui a été fait

Vous êtes basé à Roanne, Lyon ou ailleurs en France ? Contactez-moi pour faire le point sur la sécurité de votre site. Premier échange gratuit, sans engagement.

En résumé

• Une attaque massive a touché l’écosystème WordPress mi-juin 2026 via l’éditeur Awesome Motive
• Plugins concernés : OptinMonster, TrustPulse, PushEngage (directement), MonsterInsights, UpdraftPlus, potentiellement WPForms et AIOSEO
• Au total, jusqu’à 15 millions de sites sont exposés ou potentiellement compromis
• Le piège : l’attaque est invisible pour les visiteurs et ne se déclenche que quand un admin est connecté
• À vérifier en urgence : comptes administrateurs frauduleux (developer_api1, dev_xxxxxx), plugins cachés (content-delivery-helper, database-optimizer)
• À mettre à jour immédiatement : MonsterInsights (10.1.3+), UpdraftPlus, OptinMonster, TrustPulse, PushEngage, WPForms, AIOSEO

La leçon : les attaques supply chain visent désormais les éditeurs, plus seulement les sites. La maintenance et la surveillance active deviennent indispensables.