Il y a deux façons pour une PME d’être concernée par la campagne que l’Office fédéral de la cybersécurité (OFCS) a décrite le 7 août 2026. La première est attendue : un collaborateur visite un site piégé et infecte son poste. La seconde l’est moins : le site piégé, c’est le vôtre.
Ce que l’OFCS constate
L’office signale une augmentation des sites web compromis qui affichent de faux CAPTCHA pour amener leurs visiteurs à exécuter des commandes malveillantes. Plus de 100’000 sites sont concernés dans le monde.
Il observe en parallèle une hausse du nombre de sites suisses piratés puis utilisés pour distribuer des maliciels, et dit recevoir un nombre croissant d’annonces d’exploitants de sites et d’hébergeurs suisses. La grande majorité des sites compromis tournent sous WordPress.
Un CAPTCHA qui demande de coller une commande
Le faux CAPTCHA imite celui de Cloudflare, un fournisseur américain de réseau de diffusion de contenu, et s’adapte à la langue du visiteur. Rien ne le distingue à première vue d’une vérification légitime.
La suite reprend le mode opératoire que l’OFCS avait déjà décrit dans sa rétrospective de la semaine 8, le 24 février 2026, sous le nom de ClickFix. La page copie discrètement une commande dans le presse-papiers, puis affiche une manipulation à effectuer : ouvrir une fenêtre, coller, valider. Sur Windows, c’est une commande PowerShell. Sur macOS, une commande adaptée à ce système. Les deux plateformes sont visées.
Pourquoi l’antivirus ne suffit pas
C’est ce qui rend la technique redoutable, et l’OFCS le souligne : la commande de téléchargement est lancée par l’utilisateur lui-même. Ce n’est ni une pièce jointe ouverte par erreur, ni un site qui exploite une faille du navigateur. C’est une action volontaire, effectuée par une personne convaincue de résoudre un problème d’affichage. Les protections qui filtrent les fichiers entrants n’ont rien à filtrer.
Le code malveillant est en outre hébergé de façon inhabituelle : il est stocké et diffusé via une chaîne de blocs, une technique appelée EtherHiding, et récupéré par les interfaces web des fournisseurs RPC qui donnent accès à ces réseaux. Il n’y a donc pas de serveur central à faire fermer.
Deux failles WordPress corrigées le 17 juillet
Comment ces sites sont-ils piratés ? L’OFCS pointe l’exploitation combinée de deux vulnérabilités WordPress récemment divulguées, CVE-2026-63030 et CVE-2026-60137, dont l’enchaînement est connu sous le nom de WP2Shell. Les correctifs ont été publiés le 17 juillet 2026. Beaucoup d’administrateurs ne les ont pas appliqués.
Trois semaines entre la mise à disposition d’un correctif et son exploitation à grande échelle : c’est l’ordre de grandeur auquel une PME doit se préparer. Le sujet des mises à jour n’a rien de neuf, mais il prend ici une forme très concrète.
Ce que le maliciel emporte
Les charges distribuées sont des voleurs d’informations, dont Vidar. Ils récupèrent les identifiants enregistrés, les données bancaires et les portefeuilles de cryptomonnaies. En février, l’OFCS relevait déjà que ces outils s’intéressent aussi aux cookies de session, ceux qui maintiennent une session ouverte sans redemander le mot de passe, et que l’infection d’un poste professionnel peut servir de point de départ à une attaque par rançongiciel.
Pour une PME, cela signifie qu’un poste infecté un mardi après-midi peut se traduire par un accès à la messagerie d’entreprise le soir même, sans qu’aucun mot de passe n’ait été deviné.
Deux chantiers, côté site et côté équipe
Côté site, l’OFCS demande aux exploitants de tenir à jour leur système de gestion de contenu ainsi que l’ensemble des extensions et modules, d’activer l’authentification multifacteur sur les accès d’administration et de suivre les recommandations de sécurisation de leur hébergeur. Si votre site vitrine a été confié il y a quatre ans à une agence avec laquelle vous n’avez plus de contrat, c’est le moment de vérifier qui applique ces mises à jour.
Côté équipe, la règle tient en une phrase : aucun site légitime ne vous demandera jamais de copier une commande et de l’exécuter sur votre ordinateur. C’est un réflexe à installer au même titre que ceux qui concernent les autres formes de manipulation. L’office recommande par ailleurs aux entreprises de restreindre les connexions sortantes vers les fournisseurs RPC et de limiter l’exécution de scripts PowerShell sur les postes qui n’en ont pas l’usage.
En conclusion
Cette campagne a la particularité de placer une PME des deux côtés du problème : victime possible par ses collaborateurs, relais involontaire par son site web. Les deux réponses ne relèvent pas des mêmes personnes, et c’est souvent là que ça coince, parce que personne en interne ne se sent vraiment responsable du site vitrine. Savoir qui met à jour quoi, sur quels systèmes et dans quel délai est une question qui se traite mieux à froid qu’au moment où un hébergeur vous annonce que votre domaine distribue un maliciel.