Comment protéger WordPress contre les attaques par déni de service (DoS) exploitant la vulnérabilité CVE-2018-6389

English version: How to protect WordPress against CVE-2018-6389 DoS attacks

Il convient de préciser qu'il ne s'agit pas d'une vulnérabilité critique et qu'elle ne permet pas à un pirate de s'introduire dans un site web. C'est plutôt un défaut de conception qui permet à quiconque de paralyser facilement un site WordPress. Des personnes mal intentionnées peuvent l'exploiter pour rendre votre boutique en ligne inaccessible. L'attaque peut être lancée depuis n'importe quel ordinateur par n'importe qui. Aucune connaissance particulière ni logiciel spécifique n'est requis.

Le mécanisme de protection du plugin est désactivé par défaut. Lorsqu'il est activé, seuls les utilisateurs autorisés ont accès aux scripts load-scripts.php et load-styles.php.

Pour vous protéger contre les attaques DoS exploitant la vulnérabilité CVE-2018-6389, rendez-vous dans l'onglet « Renforcement » , activez l'option « Bloquer l'accès non autorisé aux fichiers load-scripts.php et load-styles.php » , puis cliquez sur « Enregistrer les modifications ». Après l'activation de ce paramètre, des règles de sécurité seront ajoutées au fichier .htaccess et un cookie spécifique, connu uniquement de votre serveur web, sera créé pour chaque utilisateur autorisé. Les styles et scripts utilisés pour le formulaire de connexion WordPress standard seront chargés sans concaténation. Pour empêcher cette concaténation, l'extension définit la constante CONCATENATE_SCRIPTS pour tous les visiteurs non connectés.

Pour en savoir plus sur la vulnérabilité CVE-2018-6389, consultez le site web.

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-6389
• https://securityaffairs.co/wordpress/68709/hacking/cve-2018-6389-wordpress-dos-flaw.html
• https://thehackernews.com/2018/02/wordpress-dos-exploit.html

Hardening settings in the WordPress Dashboard

Saviez-vous que vous pouvez configurer ces paramètres à distance sur un nombre illimité de sites web ? Activez le mode maître Cerber.Hub sur votre site principal et le mode esclave sur vos autres sites pour gérer toutes vos instances WP Cerber depuis un seul tableau de bord WordPress et passer d’un site à l’autre en un clic.