Les extensions WordPress OptinMonster, TrustPulse et PushEngage piégées par une attaque de chaîne d'approvisionnement via le CDN d'Awesome Motive

Le 13 juin 2026, la société de sécurité Sansec a révélé une attaque de chaîne d'approvisionnement visant Awesome Motive, l'entreprise derrière une gamme d'extensions WordPress de marketing très répandues. Les attaquants avaient altéré des fichiers JavaScript distribués via le réseau de diffusion de contenu (CDN) d'Awesome Motive, empoisonnant les scripts chargés par les extensions OptinMonster, TrustPulse et PushEngage — OptinMonster est à elle seule installée sur au moins 1,2 million de sites web.

Ce qui s'est passé

Les intrus ont d'abord exploité une vulnérabilité connue d'une extension tierce, UpdraftPlus, fonctionnant sur l'un des serveurs du site marketing d'Awesome Motive. De là, ils ont accédé au serveur, repéré les identifiants du compte CDN de l'entreprise, puis utilisé la clé d'API CDN dérobée pour modifier les fichiers JavaScript servis aux utilisateurs des extensions. Comme les scripts étaient chargés directement depuis le CDN légitime, les sites WordPress concernés ont récupéré le code malveillant en silence, sans aucune modification de fichier local.

Le JavaScript injecté était conçu pour s'exécuter dans le navigateur de tout administrateur WordPress connecté qui chargeait une page affectée. En s'appuyant sur la session authentifiée de cet administrateur, le code créait en silence des comptes administrateurs cachés et installait une extension-porte dérobée capable de se dissimuler — offrant aux attaquants un accès privilégié et persistant aux sites compromis. Awesome Motive a indiqué que les scripts altérés ont été servis durant une courte période à partir du 12 juin : OptinMonster et TrustPulse ont été touchées brièvement ce soir-là, tandis que certains nœuds CDN de PushEngage ont continué à diffuser la charge malveillante jusqu'à environ 19h02 UTC le 14 juin.

Pourquoi c'est important

Il s'agit d'une compromission classique de chaîne d'approvisionnement via un CDN : une seule clé d'API dérobée a transformé des scripts de confiance, hébergés de manière centralisée, en canal de diffusion de portes dérobées sur potentiellement plus d'un million de sites, sans qu'aucun fichier malveillant ne soit jamais écrit sur les serveurs des victimes. Parce que la charge utile détournait la session de l'administrateur qui la chargeait, la détection et le nettoyage sont plus ardus qu'avec un piratage de mise à jour d'extension classique. Awesome Motive a déclaré avoir remédié au site marketing, l'avoir migré vers un nouveau serveur et renouvelé tous les identifiants, y compris la clé d'API CDN, mais les propriétaires de sites utilisant les extensions concernées ont été invités à vérifier l'absence de comptes administrateurs inattendus et d'extensions inconnues.