Découvrir que son site WordPress affiche des messages d’erreur inhabituels, redirige ses visiteurs ou renvoie des pages blanches est rarement anodin : c’est souvent la signature d’un malware WP-VCD logé au cœur des fichiers du thème. Cette infection, l’une des plus répandues de l’écosystème WordPress, se distingue par sa discrétion et par sa capacité à se réinstaller seule après un nettoyage superficiel. Elle pénètre presque toujours par un thème ou une extension piratés, installe une porte dérobée invisible, contacte des serveurs distants et injecte du contenu indésirable à l’insu de l’administrateur. Savoir reconnaître ses traces, poser un diagnostic fiable et appliquer une procédure de nettoyage complète sont les trois réflexes qui permettent de reprendre le contrôle. Voyons précisément ce qu’est WP-VCD, comment repérer sa présence, comment l’éradiquer proprement et comment refermer la porte pour de bon.

WP-VCD, le malware WordPress qui se greffe sur le thème

WP-VCD ne ressemble pas aux infections classiques : il vise spécifiquement les installations WordPress et fait du fichier functions.php du thème son point d’ancrage favori. Repérer sa présence passe souvent par un audit de sécurité WordPress approfondi, car le code malveillant se fond dans des fichiers légitimes que personne ne consulte au quotidien. Avant de chercher à l’éliminer, mieux vaut comprendre par où il entre, où il se dissimule et comment il finit par trahir sa présence.

Le vecteur d’entrée de WP-VCD est presque toujours le même : un thème ou une extension premium récupérés gratuitement sur des sites de partage, dans une version dite nulled (piratée, débridée). En installant ce paquet, l’administrateur exécute sans le savoir le code malveillant qui y a été glissé. C’est le prix caché de l’économie d’une licence : la version nulled embarque une charge active dont l’unique objectif est de prendre pied sur le serveur. Une fois en place, l’infection ne reste pas isolée. Elle parcourt le dossier des thèmes et recopie sa charge dans chaque functions.php qu’elle y trouve, thème actif comme thèmes inactifs. Cette propagation interne explique pourquoi un nettoyage partiel échoue presque toujours : tant qu’un seul fichier infecté subsiste, il suffit d’une visite pour que l’infection se réinstalle ailleurs, à la manière d’un ver qui se réplique pour survivre à une suppression incomplète.

La porte dérobée cachée dans le functions.php

Le cœur de WP-VCD est une backdoor (porte dérobée) ajoutée tout en haut du functions.php, avant le code légitime du thème. Ce bloc, souvent précédé d’un marqueur interne caractéristique, attend une requête contenant un mot de passe précis pour exécuter les ordres d’un attaquant distant. À côté, l’infection dépose un ou plusieurs fichiers dans le répertoire du cœur de WordPress, avec des noms imitant des fichiers système, qui servent de réservoir à la charge et de relais de réinstallation. Le mécanisme est conçu pour la persistance avant tout. La porte dérobée contacte régulièrement des serveurs de commande externes pour récupérer des instructions à jour, qu’il s’agisse d’injecter des liens, d’afficher des publicités ou de servir des redirections. Comme le code se greffe sur un fichier que WordPress charge à chaque requête, il s’exécute systématiquement, sans laisser de trace évidente dans l’interface d’administration.

Les symptômes d’un site contaminé par WP-VCD

Plusieurs signaux doivent alerter. Le plus courant est l’apparition de notices et avertissements PHP en haut des pages, souvent liés à un chargement de traductions trop précoce ou à des constantes mal définies, qui révèlent du code s’exécutant là où il ne devrait pas. Sur un site par ailleurs sain, ces messages soudains méritent toujours une vérification. D’autres symptômes sont plus visibles pour le public : insertion de liens cachés, redirection des visiteurs venus des moteurs vers des pages douteuses, ou affichage de contenus indésirables réservés aux nouveaux arrivants, en épargnant l’administrateur connecté. Cette sélectivité rend l’infection difficile à constater depuis son propre navigateur. Enfin, un comportement très caractéristique apparaît lors d’une migration de version PHP : un site qui tournait en apparence se met à renvoyer des erreurs fatales, car le code injecté, écrit pour de vieilles versions, ne survit pas au passage à PHP 8. Une panne déclenchée par un simple changement de version est un indice sérieux.

Poser le diagnostic d’une infection WP-VCD

Le diagnostic d’une infection WP-VCD repose sur une recherche méthodique de signatures connues, croisée avec la lecture des journaux du serveur. La démarche rejoint la logique défensive décrite dans notre article sur le Cross-Site Scripting (XSS) : Tout fichier et toute donnée non maîtrisés doivent être considérés comme suspects jusqu’à preuve du contraire. L’objectif est d’établir l’étendue exacte de la contamination avant de toucher au moindre fichier.

Repérer les fichiers et signatures malveillants

La première étape consiste à rechercher, dans l’ensemble des thèmes et du dossier du cœur, les marqueurs propres à WP-VCD. Un identifiant interne récurrent, la présence de fichiers au nom imitant le cœur de WordPress, ou un bloc de code suspect au sommet d’un functions.php sont autant d’empreintes fiables. Une simple recherche par motif sur l’arborescence (avec grep en ligne de commande, par exemple) suffit à lister les fichiers concernés. Il faut inspecter tous les thèmes, et pas seulement le thème actif, puisque l’infection se recopie partout. Le thème parent peut être sain tandis que le thème enfant est touché, ou l’inverse. Recenser l’intégralité des fichiers porteurs de la signature, avant toute suppression, évite d’en oublier un seul, l’oubli qui suffirait à relancer toute la contamination.

Lire les logs et les erreurs PHP

Les journaux apportent une confirmation précieuse. Le fichier de debug de WordPress, lorsqu’il est activé, et surtout le journal d’erreurs du serveur consignent les fatales et les avertissements que l’écran ne montre pas toujours. C’est souvent là que se lit le vrai message : un appel à une constante non définie, une erreur de syntaxe héritée du code injecté, ou un chemin de fichier inhabituel. Encore faut-il interpréter correctement ce que l’on voit. Un avertissement portant sur une constante au nom évocateur, situé dans le functions.php d’un thème, n’est pas un bug du thème : c’est le code malveillant qui se signale. De même, une page entièrement blanche sans message à l’écran, alors que le journal reste muet, indique souvent que WordPress ne démarre même pas, signe d’une erreur très en amont. Distinguer un avertissement bénin d’une trace d’infection est précisément ce qui transforme une lecture de journaux en diagnostic.

Scanner avec un outil de sécurité

Un scanner dédié vient compléter l’inspection manuelle et fiabiliser le verdict. Des extensions de sécurité reconnues (éditeurs comme Wordfence ou Sucuri) embarquent des signatures à jour de WP-VCD et savent comparer les fichiers du cœur avec les versions officielles pour détecter toute altération. Cette comparaison d’empreintes est redoutablement efficace sur les fichiers de WordPress, qui ne devraient jamais varier d’une installation à l’autre. L’analyse automatisée a toutefois ses limites : elle peut manquer une variante récente, ou au contraire signaler des faux positifs qu’un œil humain saura écarter. Le bon réflexe consiste à croiser le résultat du scanner avec la recherche manuelle de signatures et la lecture des journaux, plutôt que de s’en remettre à un seul outil. C’est la convergence de ces trois sources qui donne une cartographie fiable de l’infection, base indispensable d’un nettoyage qui ne laisse rien derrière lui.

Le tableau ci-dessous récapitule les principales signatures de WP-VCD à rechercher lors du diagnostic.

Corriger et nettoyer un site infecté par WP-VCD

Corriger une infection WP-VCD ne s’improvise pas et suit un ordre précis, que l’on intervienne soi-même ou dans le cadre d’une prestation de création de site internet sécurisée. Une sauvegarde complète des fichiers et de la base précède toujours l’opération, afin de pouvoir revenir en arrière en cas de fausse manœuvre. Le principe directeur est simple : retirer tout le code malveillant, restaurer ce qui est sain, et ne rien laisser qui puisse relancer la contamination.

Supprimer les fichiers du malware

On commence par éliminer les fichiers déposés par l’infection dans le répertoire du cœur, ceux dont le nom imite un fichier système. Leur suppression coupe le réservoir de charge et le relais qui permettait à l’infection de se réinstaller. Il faut aussi traquer la ligne d’inclusion que le malware a parfois ajoutée dans un fichier du cœur pour charger sa charge automatiquement, et la retirer. Cette étape demande de la rigueur, car laisser un seul de ces fichiers réduit tout le nettoyage à néant. Mieux vaut conserver une copie des éléments supprimés en lieu sûr, hors du serveur web, le temps de vérifier que tout fonctionne. Cette mise en quarantaine permet d’analyser le code retiré sans risque, et de restaurer une portion supprimée par erreur si elle s’avérait finalement légitime, ce qui reste rare avec WP-VCD.

Désinfecter le functions.php des thèmes

Le nettoyage le plus délicat concerne les functions.php infectés. Le bloc malveillant ayant été ajouté avant le code légitime, il faut retirer uniquement cette portion et conserver intégralement le reste du fichier, qui contient des fonctions indispensables au thème. La frontière entre les deux est généralement nette, marquée par la fin du bloc injecté et la reprise du code d’origine. L’opération doit être répétée sur chaque thème porteur de la signature, sans exception. Un thème inactif oublié reste une bombe à retardement, capable de réinfecter l’ensemble dès qu’un processus le charge. Une fois le fichier assaini, une relecture s’impose pour vérifier qu’aucun reliquat ne subsiste et que la syntaxe reste valide, un point d’autant plus sensible que le code du thème, souvent ancien, peut lui-même poser des soucis de compatibilité avec les versions récentes de PHP.

Réinstaller le cœur et contrôler l’intégrité

Pour écarter tout doute sur les fichiers du cœur, la méthode la plus sûre est de réinstaller WordPress depuis une source officielle (téléchargement sur wordpress.org ou réinstallation via le tableau de bord). Cette opération remplace d’un coup l’ensemble des fichiers système par des versions saines, sans toucher au contenu ni à la base. Dans la foulée, il convient de mettre à jour le cœur, les extensions et le thème vers leurs dernières versions disponibles. Le contrôle final ne se limite pas aux fichiers : il faut inspecter les comptes administrateurs à la recherche d’un utilisateur inconnu que la porte dérobée aurait pu créer, vérifier les tâches planifiées et confirmer que les pages se chargent sans avertissement suspect. Ce n’est qu’une fois cette vérification passée, et le scanner repassé à blanc, que le site peut être considéré comme assaini.

Le tableau suivant résume les étapes d’un nettoyage complet, de la sauvegarde au contrôle final.

Sécuriser durablement pour éviter la réinfection

Nettoyer un site ne sert à rien si la porte par laquelle l’infection est entrée reste ouverte. La vraie réussite d’une intervention contre WP-VCD se mesure à sa capacité à empêcher la réinfection, en traitant la cause autant que les symptômes. Trois chantiers complémentaires verrouillent durablement l’installation.

Bannir les thèmes et plugins nullés

La règle première est sans appel : aucun thème ni aucune extension en version nulled ne doit subsister sur le serveur. Tant qu’un composant piraté reste en place, il constitue à la fois une faille connue et un véhicule tout désigné pour une nouvelle charge. Remplacer ces composants par des versions légitimes, acquises auprès de leurs éditeurs, est la seule façon de fermer ce vecteur d’entrée. Au-delà de la sécurité, ce choix conditionne aussi la pérennité du site. Une extension légitime reçoit des correctifs et des mises à jour de compatibilité, notamment vers les versions récentes de PHP, là où un paquet piraté reste figé et accumule les vulnérabilités. Investir dans une licence revient souvent bien moins cher qu’une intervention de nettoyage et que la perte de visibilité qui accompagne une mise sur liste noire par les moteurs de recherche.

Renouveler tous les accès

Une porte dérobée a pu exposer l’ensemble des identifiants du site pendant toute la durée de l’infection. Il faut donc partir du principe qu’ils sont compromis et renouveler chaque accès : mots de passe des comptes administrateurs, accès FTP et SFTP, identifiants de la base de données et du panneau d’hébergement. Cette remise à zéro coupe l’herbe sous le pied d’un attaquant qui conserverait un accès parallèle. Il est tout aussi important de régénérer les clés de sécurité de WordPress (les secret keys et salts du fichier de configuration, que le site officiel permet de générer aléatoirement). Cette régénération invalide les sessions en cours et force toute personne connectée à se ré-authentifier, ce qui expulse un éventuel intrus encore présent. Sans cette étape, le nettoyage des fichiers laisse subsister un risque d’accès résiduel.

Maintenance, pare-feu et sauvegardes

La sécurité d’un site WordPress se gère dans la durée, pas en une intervention ponctuelle. Un pare-feu applicatif (proposé par les extensions de sécurité reconnues) filtre les requêtes malveillantes et bloque les tentatives d’exploitation avant qu’elles n’atteignent le code. Désactiver les points d’entrée inutiles, comme l’ancien protocole xmlrpc souvent visé par les attaques en force, réduit d’autant la surface exposée. La constance fait le reste : des mises à jour régulières du cœur, des extensions et du thème ferment les failles à mesure qu’elles sont corrigées, tandis que des sauvegardes automatiques et testées garantissent un retour rapide à un état sain en cas d’incident. Associer une surveillance des fichiers, qui alerte dès qu’un fichier est modifié de façon inattendue, complète ce dispositif et transforme la sécurité en routine plutôt qu’en réaction d’urgence.