WordPress cesse de corriger la sécurité des versions 3.7 à 4.0

L’équipe de WordPress vient de prévenir les propriétaires de sites : à compter du 1er décembre 2022, les versions 3.7 à 4.0 du logiciel ne recevront plus aucun correctif de sécurité. Le message est clair, il faut passer à une version récente. Que signifie concrètement cette annonce pour votre site Web, et comment s’y prendre sans tout briser? On fait le point.

Pourquoi WordPress est partout

WordPress est le système de gestion de contenu (CMS) le plus répandu de la planète. Selon les relevés de W3Techs cités par le site spécialisé WPMarmite, les chiffres de 2022 donnent le vertige :

• environ 43 % de tous les sites Web tournent sous WordPress;
• près de 64 % des sites qui utilisent un CMS ont choisi WordPress;
• environ un site WordPress sur cinq exploite l’extension de commerce électronique WooCommerce.

Ces données montrent à quel point la plateforme est devenue incontournable. Commerces de quartier, PME, blogues, médias : WordPress permet de bâtir un site Web, de publier du contenu et de gagner en visibilité sans repartir de zéro. Sa popularité a toutefois un revers : un site laissé à l’abandon devient une cible de choix pour les pirates.

Ce que WordPress a annoncé en septembre 2022

L’annonce tient en une phrase : les branches 3.7 à 4.0 cessent d’être soutenues du côté de la sécurité. Après le 1er décembre 2022, quiconque les utilise encore aura un site exposé au piratage, puisque les failles découvertes ne seront plus colmatées.

La raison invoquée est surtout pratique. En délaissant les versions les plus vieilles, l’équipe de sécurité peut consacrer son énergie aux versions actuelles plutôt que de multiplier les correctifs pour un parc de sites en voie de disparition.

En résumé, voici l’argumentaire publié par WordPress (traduction libre) :

• Officiellement, seule la version la plus récente du logiciel est prise en charge.
• Par courtoisie, l’équipe de sécurité reportait jusqu’ici ses correctifs sur toutes les anciennes versions capables de se mettre à jour automatiquement, en espérant que ces sites suivraient.
• Les versions 3.7 à 4.0 représentent désormais moins de 1 % des installations; l’effort exigé dépasse le bénéfice.
• Libérer ce temps rendra les versions récentes plus sûres.

Quelle version installer?

Première question à se poser : mon site est-il touché? Si c’est le cas, le tableau de bord de WordPress affichera un avertissement permanent invitant à faire la mise à jour sans tarder.

La recommandation officielle est de passer à la toute dernière version, soit la 6.0.2 au moment de l’annonce.

Il existe une solution de repli : les versions 4.1 et suivantes (la 4.1 est sortie à la fin de 2014) continueront de recevoir des correctifs de sécurité. Un propriétaire inquiet pourrait donc grimper seulement jusqu’à la 4.1 pour limiter les risques d’incompatibilité avec un vieux thème, une extension désuète ou une ancienne version de PHP.

WordPress déconseille toutefois ce raccourci. Les correctifs de sécurité sont bien reportés sur les anciennes branches, mais pas les travaux de renforcement. La nuance compte : un correctif bouche une faille précise et critique, alors que le renforcement (ou durcissement) consiste à revoir le code pour le rendre plus robuste dans son ensemble.

Faire le saut vers la dernière version : risqué pour mon site?

C’est la crainte que tout le monde partage. Passer d’une 3.7 à une 6.0.2, c’est franchir huit ans d’évolution d’un seul coup. Comment le site va-t-il réagir? Certains estiment qu’imposer un tel bond revient à courir le risque de se retrouver avec un site qui ne fonctionne plus.

Un internaute l’a résumé dans les commentaires de l’annonce : sauter huit années de versions en une seule opération est périlleux, et plusieurs propriétaires préféreront peut-être ne pas toucher à un site qui « marche encore » plutôt que d’appuyer sur le bouton en croisant les doigts.

Le dilemme est réel. D’un côté, garder une version désuète et s’exposer au piratage. De l’autre, mettre à jour et risquer qu’un gabarit se brise ou que les performances en souffrent. Bref, choisir entre deux maux.

Rappelons cependant que, selon les statistiques de WordPress, ces anciennes versions comptent pour moins de 1 % des installations. Le changement ne devrait donc toucher qu’une petite minorité d’utilisateurs.

Nos conseils

Si cette nouvelle soulève des questions, c’est normal. Votre site est un outil de travail : une vitrine, un magasin en ligne, une source d’information pour vos clients. Il mérite qu’on en prenne soin.

Nous travaillons quotidiennement avec WordPress parce que la plateforme s’adapte à des besoins très variés. Pour un travailleur autonome ou un commerce local, c’est un outil accessible pour être présent en ligne; pour une entreprise en croissance, elle peut évoluer et se complexifier au même rythme que l’organisation.

La règle d’or reste la même que pour votre cellulaire ou votre ordinateur : des mises à jour régulières. Avant un saut de plusieurs versions, faites une sauvegarde complète, testez la mise à jour sur une copie du site (environnement de préproduction), puis vérifiez thème, extensions et version de PHP. Et si votre site montre déjà des signes d’intrusion, consultez notre page sur le site WordPress piraté.

Référenceur est une agence de marketing numérique francophone dont les bureaux sont situés en Belgique et au Luxembourg; nous offrons notre accompagnement à distance, par visioconférence, aux entreprises québécoises. Un doute sur la version de WordPress, la sécurité ou la santé générale de votre site? Obtenez un diagnostic gratuit : notre équipe vous proposera la solution la plus sûre.

Où en est-on en 2026?

Le couperet est bel et bien tombé le 1er décembre 2022 : les versions 3.7 à 4.0 ne reçoivent plus de correctifs depuis. Le principe n’a pas changé, WordPress ne prend officiellement en charge que sa version la plus récente. Un site qui tourne encore sur une branche aussi ancienne doit être considéré comme vulnérable et migré en priorité.