Site WordPress piraté : que faire en urgence ?

Votre site affiche des pages en japonais, redirige vers des sites douteux, ou Google prévient vos visiteurs qu’il est dangereux ? Votre site WordPress a probablement été piraté. Respirez : c’est stressant, mais ça se répare, et ce guide vous dit exactement quoi faire, dans l’ordre.

L’essentiel en une phrase : changez tous vos mots de passe, prévenez votre hébergeur, restaurez une sauvegarde saine (ou nettoyez le site), puis demandez à Google de lever son avertissement.

Actualité d’octobre 2026 : deux failles critiques dans PHP

Le 20 octobre 2026, l’équipe de sécurité de PHP, le langage qui fait tourner WordPress, a annoncé un correctif d’urgence pour le 21 octobre à 16 h (heure de Paris). Il corrige deux vulnérabilités critiques, notées toutes les deux 9,2 sur 10 selon le standard CVSS v4.0. Selon des informations qui ont circulé avant l’annonce officielle, et qui restent à confirmer, il s’agirait de failles permettant d’exécuter du code à distance, sur de nombreuses versions de PHP.

Ce n’est pas une faille de WordPress en lui-même, mais elle concerne potentiellement tous les sites qui tournent sur un serveur PHP non mis à jour. Voici ce qu’il faut faire :

Vérifiez votre version de PHP dans l’espace client de votre hébergeur, ou dans WordPress via Outils, puis Santé du site.
Sur un hébergement mutualisé, l’hébergeur applique généralement le correctif lui-même : contactez-le pour confirmer qu’il l’a fait.
Sur un serveur dédié ou un VPS, c’est à vous ou à votre prestataire d’installer la mise à jour dès sa publication.
Si votre site tourne sur une version de PHP qui n’est plus maintenue, il ne recevra aucun correctif : c’est le moment de passer à une version récente.

Les versions concernées et les versions corrigées sont publiées avec le correctif sur php.net. Et si votre site montre déjà des signes de piratage, suivez les étapes ci-dessous.

Vous ne savez pas si votre site est concerné ? Contactez-moi pour un audit rapide de votre site, ou pour une intervention en urgence s’il est déjà touché.

Les signes qui ne trompent pas

Votre site redirige vers des sites de casino, de pharmacie ou de contenus douteux, parfois seulement depuis Google ou sur mobile.
Des pages inconnues apparaissent dans les résultats de recherche, souvent en japonais ou bourrées de liens.
Le navigateur ou Google affiche un avertissement du type « Ce site peut être piraté ».
De nouveaux comptes administrateurs apparaissent dans WordPress.
Votre hébergeur suspend votre site ou vous signale un envoi massif d’e-mails.
Le site devient soudainement très lent, ou affiche des erreurs inhabituelles.

Les bons réflexes dans la première heure

Ne supprimez rien dans la précipitation. Les fichiers infectés sont aussi des indices pour comprendre comment le pirate est entré.
Faites une copie de l’état actuel du site (fichiers et base de données), pour pouvoir analyser l’attaque.
Changez tous vos mots de passe, depuis un ordinateur sain : comptes administrateurs WordPress, espace client de l’hébergeur, accès FTP ou SFTP, et base de données.
Prévenez votre hébergeur. Il peut vous dire depuis quand le site est touché et quelles sauvegardes il conserve.
Mettez le site en maintenance si l’infection redirige vos visiteurs ou menace leurs données.

Nettoyer le site

Option 1 : restaurer une sauvegarde saine

C’est la solution la plus rapide, si vous avez une sauvegarde datant d’avant l’infection. Mais attention : restaurer sans corriger la faille, c’est laisser la porte ouverte. Le pirate reviendra par le même chemin.

Option 2 : nettoyer le site en profondeur

Analysez le site avec un outil de sécurité reconnu, comme Wordfence ou Sucuri.
Réinstallez les fichiers de WordPress depuis une source officielle.
Remplacez le thème et les extensions par des versions officielles et à jour, et supprimez ceux que vous n’utilisez plus.
Supprimez toute extension ou tout thème « nulled » (version premium piratée) : c’est l’une des portes d’entrée les plus fréquentes.
Vérifiez la liste des utilisateurs et supprimez les comptes inconnus.
Inspectez les fichiers sensibles (wp-config.php, .htaccess) et cherchez des fichiers PHP dans le dossier des médias, où ils n’ont rien à faire.
Régénérez les clés de sécurité de WordPress, pour déconnecter toutes les sessions ouvertes.

Après le nettoyage

Prévenez Google. Dans la Search Console, rubrique « Problèmes de sécurité », demandez un réexamen pour lever l’avertissement.
Vérifiez les données personnelles. Si des données de clients ont pu être exposées, le RGPD peut vous obliger à prévenir la CNIL dans les 72 heures, voire les personnes concernées. Renseignez-vous sur le site de la CNIL ou auprès d’un juriste.
Surveillez le site pendant plusieurs semaines pour vous assurer que l’infection ne revient pas.

Pourquoi les sites WordPress se font pirater

WordPress en lui-même est sûr. Dans l’immense majorité des cas, le pirate entre par une extension ou un thème pas à jour, une version piratée d’une extension premium, un mot de passe trop faible, ou un hébergement mal sécurisé.

Éviter que ça recommence

Faites les mises à jour régulièrement : WordPress, thème et extensions.
Mettez en place des sauvegardes automatiques, stockées en dehors de votre hébergement.
Activez la double authentification sur les comptes administrateurs.
Limitez le nombre d’extensions, et n’installez que des extensions maintenues et téléchargées depuis des sources officielles.
Confiez la maintenance à un professionnel si vous n’avez pas le temps de vous en occuper.

La maintenance a un coût, mais il reste bien inférieur à celui d’un site piraté.

Questions fréquentes

Combien coûte la réparation d’un site WordPress piraté ?

Tout dépend de l’ampleur de l’infection et de l’existence d’une sauvegarde saine. Une restauration simple prend peu de temps ; un nettoyage complet, fichier par fichier, demande beaucoup plus de travail. Un professionnel vous donnera une estimation après un premier diagnostic.

Mon hébergeur peut-il réparer mon site ?

Certains hébergeurs proposent une restauration de sauvegarde ou un service de nettoyage, souvent payant. Contactez-le dans tous les cas : il peut vous indiquer depuis quand le site est infecté et quelles sauvegardes sont disponibles.

Faut-il refaire tout le site ?

Pas forcément. Un nettoyage bien fait et une restauration saine suffisent dans la plupart des cas. Une refonte se justifie surtout si le site est très ancien, plus maintenu, ou construit sur des extensions abandonnées.

Google va-t-il pénaliser mon site ?

Tant que le site est infecté, Google peut afficher un avertissement aux visiteurs ou faire reculer vos pages. Une fois le site nettoyé, demandez un réexamen dans la Search Console : la situation revient généralement à la normale.

Votre site WordPress a été piraté ?

Je peux diagnostiquer, nettoyer et sécuriser votre site, puis mettre en place une maintenance pour éviter que ça recommence. Je suis développeur freelance WordPress à Annecy, et j’interviens généralement sous 48 heures. Contactez-moi en décrivant ce que vous constatez.