Vous ouvrez la liste des utilisateurs de votre site et tout semble normal. Pourtant, un administrateur supplémentaire peut exister sans y apparaître. En septembre 2026, Wordfence a publié l'analyse d'un malware WordPress qu'il suit depuis juin : il s'installe dans un dossier peu connu, crée des administrateurs cachés et vole les mots de passe à la connexion. Si vous avez déjà repéré un compte suspect, notre page compte administrateur inconnu explique comment reprendre la main.
Le dossier mu-plugins, angle mort de WordPress
WordPress charge automatiquement tout ce qui se trouve dans wp-content/mu-plugins (pour « must-use plugins »), à chaque page, sans que ces fichiers apparaissent dans la liste habituelle des extensions. C'est prévu pour les hébergeurs et les développeurs. C'est aussi une cachette idéale.
Le malware décrit par Wordfence s'y installe sous des noms variés : plus de 4 000 noms de fichiers différents ont été relevés, dont certains imitent des fichiers légitimes comme advanced-cache.php ou db.php.
Ce qu'il fait une fois installé
- Il crée des comptes administrateurs invisibles dans l'interface, avec des identifiants du type admin_, adm_, administrator_ ou backup_ suivis de six caractères aléatoires.
- Il capture les mots de passe des administrateurs au moment de la connexion.
- Il cherche les accès sensibles : fichier wp-config.php, fichier .env, clés de paiement ou de services en ligne, commandes WooCommerce.
- Il injecte du JavaScript dans les pages vues par vos visiteurs.
- Il peut désactiver les extensions de sécurité et se propager aux autres sites d'un même hébergement.
Particularité : il reçoit ses instructions via des contrats sur la blockchain Ethereum plutôt que depuis un serveur fixe. Bloquer un nom de domaine ne suffit donc pas à le couper.
Comment savoir si votre site est touché
- Ouvrez le dossier wp-content/mu-plugins par FTP ou par le gestionnaire de fichiers de l'hébergeur. Sur beaucoup de sites, il est vide ou n'existe pas. Tout fichier que vous ne savez pas expliquer mérite d'être examiné.
- Comparez la liste des utilisateurs de l'interface avec celle de la base de données (table wp_users) : un compte présent en base mais absent de l'écran est un signal fort.
- Cherchez dans la table des options des clés nommées src, bu, bp ou ic, citées par Wordfence.
- Si votre hébergeur fournit des journaux de connexions sortantes, des appels vers des services Ethereum publics sont anormaux pour un site vitrine.
Que faire si c'est le cas
Ne supprimez pas seulement le fichier : le malware se restaure. Faites d'abord une sauvegarde de l'état actuel, puis traitez ensemble les fichiers, les comptes et la base de données. Changez tous les mots de passe depuis un ordinateur sain et renouvelez vos clés de paiement ou d'API si le site en utilise. Si une boutique est concernée, voyez aussi notre page boutique en ligne piratée.
Notre diagnostic gratuit permet de savoir rapidement si ce malware, ou un autre, est présent.
Source : [synthèse du rapport Wordfence de septembre 2026](https://sobold.co.uk/news/what-wordfences-september-2026-wordpress-malware-report-means-for-enterprise-sites/).