WordPress est le CMS le plus attaqué au monde tout simplement parce qu’il est, de très loin, le plus utilisé : il équipe une part massive des sites web dans le monde, ce qui en fait la cible mathématiquement la plus rentable pour des attaques automatisées.
Mais être la cible la plus visée et être le logiciel le moins sûr sont deux choses très différentes, et les chiffres récents sur l’origine réelle des failles donnent une image nettement plus nuancée, et plutôt rassurante, sur le cœur de WordPress lui-même.
Une question de volume, pas de faiblesse
Un site qui n’existe qu’à quelques centaines d’exemplaires dans le monde n’intéresse quasiment aucun attaquant automatisé : le retour sur investissement est trop faible. Un CMS présent sur des dizaines de millions de sites, à l’inverse, devient une cible de choix, même si sa qualité logicielle est excellente. C’est un biais statistique important à garder en tête à chaque fois qu’on lit « WordPress est le CMS le plus attaqué » : ce classement mesure le nombre de tentatives d’attaques, pas la robustesse du logiciel.
Ce que montrent vraiment les chiffres récents
Un rapport Patchstack sur l’état de la sécurité WordPress, basé sur les données de 2025, apporte un éclairage précis et instructif : sur l’ensemble des nouvelles vulnérabilités recensées dans l’écosystème WordPress cette année-là, environ 91% provenaient d’extensions tierces, environ 9% de thèmes, et seulement une poignée provenait du cœur même de WordPress, toutes classées en risque faible.
Autrement dit, l’immense majorité des failles ne vient pas du logiciel WordPress publié et maintenu par sa fondation, mais de l’écosystème d’extensions qui gravite autour, souvent développé par des tiers avec des niveaux de rigueur très inégaux. C’est un point que je trouve trop rarement mentionné dans les articles qui pointent WordPress du doigt.
Le cœur solide, l’écosystème parfois fragile
Cette distinction change complètement la lecture du problème. Le cœur de WordPress est développé par une communauté large, revue par de nombreux contributeurs, avec un cycle de correctifs de sécurité rapide et documenté. Les failles qui font vraiment mal, celles qui permettent une prise de contrôle complète d’un site, viennent presque toujours d’un plugin de formulaire abandonné, d’un thème premium jamais mis à jour, ou d’une extension installée puis oubliée.
Un site WordPress avec dix extensions maintenues à jour et un cœur correctement administré a, sur le papier, un profil de risque très différent d’un site avec le même CMS mais bourré de plugins non maintenus depuis des années.
Mon avis sur la question
Je le répète souvent parce que je le pense vraiment : le problème n’est presque jamais WordPress en lui-même, mais ce qu’on en fait. Voir WordPress qualifié de « CMS le plus attaqué » sans plus de contexte donne une image faussée, un peu comme si on disait que la voiture la plus vendue au monde est aussi la plus souvent volée, sans préciser que c’est justement parce qu’elle est partout. Cela ne veut pas dire que la sécurité WordPress est un non-sujet, loin de là. Ça veut dire que l’effort à fournir ne porte pas sur « faut-il quitter WordPress », mais sur la rigueur avec laquelle on gère ses extensions, leurs mises à jour, et le nombre de plugins réellement nécessaires sur un site.
Si vous voulez savoir où en est réellement la sécurité de votre site WordPress (cœur, extensions, thème, hébergement), je peux faire ce diagnostic via mon audit gratuit donc n’hésitez pas à me contacter.
