Une faille a été repérée dans WP Super Cache qui permettrait à un acteur malveillant de télécharger et exécuter du code malveillant, principalement pour contrôler le site ciblé. Cette vulnérabilité expose les utilisateurs de WP Super Cache à une faille authentifiée d’exécution de code à distance (RCE). L’exécution de code à distance représente un exploit permettant à un pirate de profiter d’une faille, télécharger et exécuter du code malveillant.

L’intention habituelle consiste à télécharger et exécuter du code PHP lui permettant par la suite d’installer des portes dérobées, d’avoir accès à la base de données et de lui apporter des modifications mais aussi de contrôler le niveau administrateur du site. Lorsque le pirate arrive à s’emparer de l’administration, le site devient sous son contrôle. Une faille dans une application PHP peut accepter l’entrée de l’utilisateur et l’évaluer en tant que code PHP. Ceci permettrai à un pirate, par exemple, de demander au site web de créer un nouveau fichier avec du code accordant au pirate un accès total au site web. Cette vulnérabilité est jugée grave, car elle est généralement facilement exploitable et donne un accès à un pirate immédiatement après avoir été exploitée. WP Super Cache dispose d’une variante de l’exploit RCE nommée exécution de code à distance authentifié.

Aucun détail n’a été publié sur le type d’authentification nécessaire pour l’exploit. Le logiciel a été mis à jour par le développeur de WP Super Cache connu sous le nom d’Automattic. Les éditeurs utilisant le plugin doivent passer à la dernière version 1.7.2.