Nom du plugin	Plugin de newsletter AcyMailing SMTP
Type de vulnérabilité	vulnérabilité du contrôle d'accès
Numéro CVE	CVE-2026-3614
Urgence	Haut
Date de publication du CVE	2026-04-16
URL source	CVE-2026-3614

Contrôle d'accès défaillant dans AcyMailing (CVE-2026-3614) : Ce que les propriétaires de sites WordPress doivent savoir et comment WP-Firewall vous protège

Date: 2026-04-16

Auteur: Équipe de sécurité WP-Firewall

TL;DR

Une vulnérabilité de contrôle d'accès défaillant de haute gravité (CVE-2026-3614, CVSS 8.8) affecte les versions 9.11.0 à 10.8.1 du plugin de newsletter AcyMailing SMTP. Le problème permet à un utilisateur authentifié avec le rôle d'abonné d'effectuer des actions normalement réservées à des rôles de plus haut niveau (élévation de privilèges) en raison de l'absence de vérifications d'autorisation sur les points de terminaison du plugin. Le fournisseur a publié un correctif dans la version 10.8.2. Action immédiate : mettez à jour le plugin vers 10.8.2 ou une version ultérieure. Si vous ne pouvez pas mettre à jour immédiatement, déployez un patch virtuel basé sur un WAF et d'autres étapes de durcissement — que WP-Firewall peut fournir automatiquement.

Cet article explique le risque technique, les scénarios d'attaque, les méthodes de détection, les atténuations étape par étape et les recommandations pratiques que vous pouvez appliquer dès aujourd'hui pour protéger les sites WordPress.

---

Pourquoi c'est important

Le contrôle d'accès défaillant est l'une des vulnérabilités d'application web les plus courantes et les plus dangereuses. Lorsqu'un plugin expose des fonctionnalités sans vérifier que l'utilisateur est autorisé à les utiliser, un compte à faible privilège (Abonné) peut être utilisé comme point d'appui pour élever les privilèges, exfiltrer des données ou pousser du contenu malveillant. AcyMailing est un plugin de newsletter/mail largement déployé, et de nombreux sites en dépendent pour envoyer des e-mails, gérer des abonnés et maintenir des listes — ce qui signifie qu'une exploitation peut conduire à des abus de mail, au vol de données ou à un compromis durable.

Parce que la vulnérabilité permet des actions à partir d'un compte Abonné authentifié, les attaquants peuvent tirer parti de configurations d'enregistrement faibles, de flux d'enregistrement de commentaires ou d'ingénierie sociale pour créer ou convertir un compte et ensuite exploiter la faille. Cela rend les tentatives d'exploitation de masse automatisées réalistes et urgentes à atténuer.

---

Résumé de la vulnérabilité

• Titre: Autorisation manquante pour l'élévation de privilèges Authentifiée (Abonné+)
• Logiciels concernés : AcyMailing SMTP Newsletter pour WordPress
• Versions vulnérables : 9.11.0 — 10.8.1
• Version corrigée : 10.8.2
• Classification: Contrôle d'accès rompu (OWASP A01)
• CVE : CVE-2026-3614
• Date de divulgation de Patchstack/Research : 16 avril 2026
• Privilège requis pour exploiter : Abonné (rôle d'utilisateur authentifié)
• Gravité: Élevé (CVSS 8,8)

Note: Si vous exécutez une version dans la plage vulnérable, considérez cela comme une mise à jour de haute priorité. Les attaquants scannent les points de terminaison des plugins ; l'absence de vérifications d'autorisation entraîne des chemins d'exploitation faciles.

---

Analyse technique (ce qui s'est probablement passé)

Bien que des détails spécifiques au niveau du code source ne soient pas divulgués ici, le schéma typique pour cette classe de problème inclut :

• Le plugin expose des points de terminaison publics (gestionnaires AJAX dans admin-ajax.php, routes API REST personnalisées ou gestionnaires de requêtes directs) destinés à des actions administratives ou privilégiées.
• Le point de terminaison exécute la logique d'action (par exemple, créer/éditer une campagne, vider les listes d'abonnés, importer/exporter, changer les paramètres d'envoi) sans effectuer de vérifications de capacité adéquates (par exemple, current_user_can(‘manage_options’)) ou d'autres vérifications d'autorisation.
• Le point de terminaison peut supposer que l'appelant est un administrateur ou un gestionnaire de newsletter parce que la requête provient de l'interface utilisateur du plugin ; cependant, il ne valide pas le rôle de l'appelant.
• En conséquence, tout utilisateur authentifié (Abonné) peut créer des requêtes vers ces points de terminaison pour déclencher des opérations privilégiées.

Les coupables courants dans le code des plugins sont des utilisations manquantes ou incorrectes de fonctions comme vérifier_admin_référent(), current_user_can(), wp_verify_nonce() et l'absence de vérifications de capacité sur les points de terminaison REST personnalisés ou les actions admin-ajax.

---

Scénarios d'attaque

1. Analyse de masse automatisée et exploitation
   • Un attaquant énumère les sites pour le plugin AcyMailing et sonde les points de terminaison connus (par exemple, admin-ajax.php avec des paramètres d'action spécifiques au plugin ou des routes REST du plugin).
   • Si une cible permet les inscriptions d'utilisateurs ou a des comptes d'abonnés (ou si l'attaquant peut en créer un via un commentaire ou un formulaire d'inscription), il s'authentifie et appelle le point de terminaison pour effectuer des opérations privilégiées (créer des utilisateurs de niveau administrateur, exporter des extraits de base de données, changer la configuration d'envoi).
2. Injection de newsletter malveillante
   • En utilisant la capacité de créer ou de modifier des campagnes, l'attaquant pousse du contenu malveillant ou des e-mails de phishing vers la liste des abonnés, compromettant potentiellement des utilisateurs en dehors du site.
3. Exfiltration de données
   • Exporter des listes d'abonnés, télécharger des journaux d'envoi ou accéder à d'autres données du site via une fonctionnalité d'exportation/importation non protégée.
4. Persistance et mouvement latéral
   • L'attaquant crée des utilisateurs privilégiés, installe des portes dérobées (via d'autres routines de téléchargement de plugins si accessibles), ou planifie des tâches pour conserver l'accès.

Parce que l'exploitation nécessite seulement un rôle d'abonné, les sites avec des inscriptions ouvertes, des inscriptions de membres lâches, ou des instances abandonnées sont particulièrement vulnérables.

---

Indicateurs de compromission (IoCs) et indices de détection

Si vous soupçonnez une exploitation, recherchez :

• Requêtes POST inattendues vers wp-admin/admin-ajax.php qui incluent des paramètres d'action spécifiques au plugin. Les modèles peuvent ressembler à : des requêtes avec des noms d'action contenant des identifiants de plugin ou des termes comme acymail, acymailing, bulletin d'information, ou similaire.
• Requêtes vers des points de terminaison REST de plugin sous wp-json/... qui effectuent des créations, mises à jour, exportations ou modifications de paramètres.
• Nouveaux utilisateurs créés avec des rôles élevés (Administrateur, Éditeur) ou comptes backend modifiés sans changements autorisés dans les journaux d'audit administratifs.
• Création ou modification soudaine de newsletters/campagnes, ou pics de volume de mails sortants non alignés avec l'activité attendue.
• Fichiers modifiés avec des horodatages récents que vous ne reconnaissez pas ; plugins ou thèmes nouvellement ajoutés.
• Les journaux du serveur montrent un cookie/session authentifié par un abonné exécutant des actions administratives.

Si vous utilisez un plugin de journalisation/audit, vérifiez les pistes d'audit pour les actions effectuées par des utilisateurs à faibles privilèges qui devraient être réservées aux administrateurs.

---

Étapes d'atténuation immédiates (que faire maintenant)

1. Mettre à jour le plugin
   • Le fournisseur a publié un correctif dans la version 10.8.2. La mise à jour vers 10.8.2 ou une version ultérieure corrige les vérifications d'autorisation. C'est la principale et recommandée remédiation.
   • Mettez à jour d'abord dans un environnement de staging, vérifiez la fonctionnalité, puis déployez en production.
2. Si vous ne pouvez pas mettre à jour immédiatement — appliquez un patch virtuel (WAF)
   • Utilisez un pare-feu d'application Web (WAF) pour bloquer les demandes ciblant les points de terminaison de plugin vulnérables ou les modèles d'action anormaux. Les règles WAF peuvent bloquer les modèles d'exploitation même lorsque le plugin n'est pas corrigé.
   • Restreignez l'accès aux points de terminaison de plugin aux rôles ou IPs de confiance. Par exemple, interdisez l'accès aux points de terminaison AJAX ou REST du plugin sauf pour les utilisateurs authentifiés avec les capacités appropriées, ou limitez par IP d'origine si l'administration est effectuée depuis des adresses fixes.
3. Restreindre les inscriptions des utilisateurs et le rôle par défaut
   • Si votre site permet l'inscription ouverte, désactivez-la temporairement ou définissez le nouveau rôle par défaut sur un rôle très restreint et exigez une approbation manuelle.
   • Supprimez ou désactivez les comptes inutilisés avec le rôle d'abonné jusqu'à ce que le plugin soit corrigé.
4. Surveillez et bloquez les comptes suspects
   • Désactivez ou mettez en quarantaine les comptes nouvellement créés qui correspondent à des modèles suspects (créés en masse, emails jetables, domaines peu communs).
   • Forcez les réinitialisations de mot de passe pour les comptes qui pourraient être compromis.
5. Analysez et auditez
   • Effectuez une analyse complète des logiciels malveillants et un contrôle de l'intégrité des fichiers pour vous assurer que le site n'a pas déjà été compromis.
   • Vérifiez les tâches planifiées suspectes (cron), les portes dérobées PHP ou les nouveaux fichiers de plugin/thème.
6. Notifications et sauvegardes
   • Assurez-vous d'avoir une sauvegarde propre, et effectuez une autre sauvegarde avant d'apporter d'autres modifications.
   • Informez votre équipe, votre fournisseur d'hébergement et tous les intervenants du risque potentiel.

---

Comment WP-Firewall aide (protections pratiques que nous fournissons)

En tant qu'équipe derrière WP-Firewall, nous comprenons ces modèles d'attaque et offrons des protections en couches conçues pour réduire votre exposition même lorsqu'un plugin est temporairement non corrigé.

• Règles WAF gérées et correctifs virtuels
  • Lorsque des vulnérabilités comme celle-ci apparaissent, WP-Firewall peut émettre des règles WAF ciblées qui bloquent les demandes d'exploitation vers les points de terminaison de plugin (actions AJAX, routes REST et modèles URI) en quelques minutes. Le correctif virtuel empêche l'exploitation d'atteindre le code vulnérable.
• Détection basée sur le comportement
  • Nous surveillons les comportements suspects qui indiquent des tentatives d'escalade de privilèges : des comptes d'abonnés effectuant des actions HTTP au niveau administrateur, un contenu POST anormal et des demandes d'exportation inattendues. Les règles s'adaptent au-delà de simples signatures.
• Contrôle d'accès granulaire
  • WP-Firewall peut appliquer une enforcement basée sur les rôles pour les points de terminaison de plugin sensibles : refuser l'accès des abonnés aux points de terminaison connus pour effectuer des tâches administratives et autoriser uniquement les rôles supérieurs ou des plages d'IP spécifiques.
• Analyse et atténuation automatisées
  • Notre scanner géré recherche des versions de plugin vulnérables connues et les signale. Pour les éléments à haut risque, nous pouvons déployer des atténuations automatiquement (si vous autorisez la protection gérée) pour réduire la fenêtre d'exposition.
• Journalisation des audits et alertes
  • Lorsqu'une tentative est bloquée ou qu'un comportement suspect est détecté, nous enregistrons l'événement et pouvons transmettre des alertes à vos canaux configurés (email, webhook) afin que vous puissiez agir rapidement.
• Recommandations et remédiations guidées
  • En plus du blocage actif, WP-Firewall fournit des conseils prescriptifs pour mettre à jour, nettoyer et renforcer le site.

Avec la protection gérée de WP-Firewall et le patching virtuel, vous réduisez considérablement le temps de protection — ce qui est vital lorsqu'une exploitation peut être automatisée et se déroule à grande échelle.

---

Exemples de stratégies d'atténuation WAF (règles pratiques)

Ci-dessous se trouvent des modèles génériques et des idées de règles que vous ou votre fournisseur de sécurité pouvez mettre en œuvre immédiatement. Ne les déployez pas aveuglément dans un WAF de production sans les tester dans un environnement de staging.

1. Bloquez les appels admin-ajax suspects pour des noms d'action spécifiques
   • Bloquer les requêtes POST vers /wp-admin/admin-ajax.php 6. paramètre correspond au nom d'action AJAX du plugin vulnérable, et où la requête manque d'un cookie valide de connexion ou d'un en-tête nonce valide. action le paramètre correspond à des modèles spécifiques au plugin associés à AcyMailing (par exemple, commence par acy_, acym_, acymailing_, ou des actions de gestion de campagne connues). Utilisez des regex pour détecter et bloquer les noms d'action anormaux des sessions d'abonnés.
2. Bloquez les points de terminaison REST API non autorisés
   • Bloquer les requêtes vers ^/wp-json/.*/acymailing ou des routes REST similaires de plugins pour les utilisateurs authentifiés en tant qu'abonnés ou des demandes sans jetons appropriés.
3. Limitation de taux et détection d'anomalies
   • Appliquez une limitation de taux pour les points de terminaison de création/mise à jour/exportation. Les abonnés ne devraient pas faire de demandes répétées de création ou d'exportation de campagne.
4. Protégez les paramètres sensibles
   • Si un point de terminaison accepte des paramètres qui contrôlent la création de rôles ou d'utilisateurs, bloquez les demandes qui incluent ces paramètres à moins que l'appelant n'ait une session admin vérifiée.
5. Restrictions Geo/IP pour les opérations administratives
   • Si vos administrateurs opèrent à partir de plages IP connues, restreignez les opérations POST de niveau admin à ces plages et bloquez les autres.
6. Bloquez les modèles de charge utile d'exploitation connus
   • Bloquez les demandes qui tentent d'appeler plusieurs points de terminaison admin rapidement, ou qui incluent des champs de téléchargement de fichiers inattendus ou de grandes demandes d'exportation CSV.

Conseil de test : Implémentez ces règles d'abord en mode détection uniquement, surveillez les faux positifs, puis appliquez le blocage une fois que vous êtes sûr que le trafic légitime n'est pas affecté.

---

Étapes post-incident (si vous pensez avoir été exploité)

1. Contenir
   • Mettez le site en mode maintenance ou restreignez temporairement l'accès aux pages admin.
   • Révoquez l'enregistrement public s'il est ouvert et inconnu.
2. Enquêter
   • Examinez les journaux du serveur pour les indicateurs mentionnés précédemment.
   • Identifiez le premier horodatage d'exploitation et les actions effectuées par le(s) compte(s) attaquant(s).
3. Supprimez la persistance
   • Supprimez tous les utilisateurs admin non autorisés ; vérifiez les dossiers de plugins/thèmes pour des portes dérobées ; examinez wp-config.php pour du code injecté ; scannez téléchargements/ pour des fichiers PHP.
4. Faire pivoter les secrets
   • Faites tourner toutes les clés API liées à l'envoi d'emails, aux services tiers, et changez les mots de passe admin. Faites tourner les sels WordPress (AUTH_KEY, SECURE_AUTH_KEY, etc.) si nécessaire.
5. Restaurez à partir d'une sauvegarde propre si nécessaire.
   • Si vous trouvez des preuves de portes dérobées ou de code injecté, revenez à une sauvegarde propre avant compromission, puis corrigez/mettez à jour vers la version de plugin sécurisée.
6. Renforcement et surveillance
   • Appliquez les étapes de durcissement à long terme ci-dessous et activez la surveillance continue et les règles WAF.
7. Réviser et apprendre
   • Documentez l'incident, comment il s'est produit, et mettez à jour vos livres de gestion des correctifs et de réponse aux incidents pour réduire l'exposition future.

---

Recommandations de durcissement à long terme

1. Gardez les plugins/thèmes/noyau à jour.
   • Corrigez rapidement. Établissez un calendrier pour réviser et tester les mises à jour en staging avant de déployer.
2. Principe du moindre privilège
   • Limitez les rôles et les capacités. Examinez ce que les abonnés ou les rôles personnalisés sont autorisés à faire sur votre site. De nombreux sites peuvent réduire encore plus les privilèges par défaut des abonnés.
3. Désactiver les fonctionnalités inutiles
   • Supprimer ou désactiver les plugins que vous n'utilisez pas. Moins vous avez de plugins, plus votre surface d'attaque est réduite.
4. Renforcez les points de terminaison du plugin
   • Pour les plugins personnalisés ou commerciaux que vous contrôlez ou étendez, assurez-vous que chaque point de terminaison AJAX et REST effectue des vérifications de capacité explicites et une vérification de nonce. Vérifiez avec les développeurs que les points de terminaison appellent current_user_can() de manière appropriée.
5. Mettre en œuvre l'authentification multi-facteurs (MFA)
   • Exiger la MFA pour les comptes administrateurs/éditeurs afin d'atténuer l'impact du vol de données d'identification.
6. Renforcer le flux d'inscription
   • Utiliser la vérification par e-mail, CAPTCHA ou approbation manuelle pour les nouveaux comptes. Envisagez d'utiliser une inscription sur invitation uniquement pour les sites sensibles.
7. Sauvegarde et récupération
   • Maintenir des sauvegardes régulières et testées stockées hors site. Assurez-vous de pouvoir restaurer rapidement à un état connu et bon.
8. Surveillance et journalisation centralisées
   • Conserver des journaux d'audit des événements administratifs et des activités inhabituelles, et les examiner régulièrement. Utilisez des alertes pour les changements critiques.
9. Diligence raisonnable des fournisseurs
   • Pour les plugins tiers, vérifiez la réactivité des développeurs, le dossier de sécurité et les antécédents en matière de correctifs rapides.
10. Tests de sécurité
    • Effectuer régulièrement des tests de pénétration ou des analyses de vulnérabilité pour détecter les problèmes avant que les attaquants ne le fassent.

---

Exemples de détection : quoi rechercher dans les journaux

• Filtrer les journaux pour les requêtes POST à /wp-admin/admin-ajax.php avec des éléments suspects. action paramètres:
  • Exemple : admin-ajax.php?action=acymailing_* ou action contient acym_, acymailing.
• Filtrer les requêtes REST :
  • Rechercher 12. le paramètre correspond à l'un des noms d'action AJAX du plugin (découvrable dans le code du plugin — par exemple, ou METTRE à /wp-json/*acymailing* les points de terminaison.
• Vérifier les envois massifs d'e-mails soudains ou une grande activité SMTP sortante (un relais SMTP utilisé par votre site peut indiquer un abus de campagne).
• Rechercher des utilisateurs créés avec le rôle administrateur ou éditeur où le créateur est un Abonné ou inconnu.
• Recherchez des téléchargements de fichiers inattendus vers wp-content/uploads/ avec .php des extensions ou des noms de fichiers inhabituels.

---

Exemple pratique — plan de test sécurisé pour les administrateurs

1. Sur une copie de staging de votre site, mettez à niveau AcyMailing vers 10.8.2 et vérifiez les flux de travail normaux des commerçants (création de campagne, import/export d'abonnés, envoi).
2. Testez vos règles WAF (si ajoutées) en mode détection pour vous assurer qu'elles ne bloquent pas les opérations administratives légitimes.
3. Simulez des actions typiques d'abonnés pour confirmer une capacité limitée (commentaires, accès au contenu réservé aux abonnés) et confirmez qu'ils ne peuvent pas déclencher des points de terminaison administratifs.
4. Après une vérification de staging réussie, déployez les mises à jour et appliquez les règles WAF en production pendant une période de faible trafic.

---

Communication aux utilisateurs et aux parties prenantes

Si vous gérez des sites clients ou clients :

• Informez les parties prenantes qu'une vulnérabilité de haute gravité a été identifiée et corrigée.
• Partagez les étapes d'atténuation prises (mise à jour appliquée, règles WAF appliquées, analyses terminées).
• Si des listes de diffusion ont pu être impactées, informez les destinataires si un abus a eu lieu et recommandez des réinitialisations de mot de passe si pertinent.

Une communication transparente renforce la confiance et réduit la probabilité d'attaques secondaires via le phishing.

---

Nouveau titre — Protégez avec le plan gratuit WP-Firewall : commencez votre protection de base aujourd'hui

Si vous souhaitez une protection de base rapide et fiable pendant que vous coordonnez les mises à jour et les audits, envisagez de commencer avec le plan WP-Firewall Basic (gratuit). Il fournit une protection de pare-feu gérée essentielle, une bande passante illimitée, un WAF capable de bloquer les tentatives d'exploitation, une analyse de base des logiciels malveillants et une atténuation des risques OWASP Top 10 — parfait pour une réduction immédiate des risques sur les sites qui ont besoin de protection maintenant. Inscrivez-vous et activez les règles gérées en quelques minutes : https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Si vous avez besoin d'une automatisation plus forte, nos plans Standard et Pro ajoutent la suppression automatique des logiciels malveillants, le blacklistage/whitelistage d'IP, des rapports de sécurité mensuels et des correctifs virtuels automatiques pour réduire votre charge de remédiation.)

---

Foire aux questions (FAQ)

Q : Si je mets à jour vers 10.8.2, suis-je complètement en sécurité ?

R : La mise à jour vers 10.8.2 corrige les problèmes d'autorisation connus qui ont été divulgués. Cependant, supposez toujours que les attaquants ont pu scanner ou tenter d'exploiter avant le patch. Après la mise à jour, effectuez une analyse complète et examinez les journaux pour tout signe d'exploitation antérieure.

Q : Mon site est hébergé par un fournisseur géré. Dois-je encore agir ?

R : Oui. Coordonnez-vous avec votre hébergeur pour vous assurer qu'il applique la mise à jour du plugin ou l'atténuation. De nombreux hébergeurs peuvent appliquer des correctifs virtuels d'urgence, mais vous devez vérifier que le plugin est mis à jour et effectuer vos propres analyses également.

Q : Puis-je compter uniquement sur la protection WAF ?

R : Un WAF est une couche critique, et le patching virtuel peut vous protéger pendant que vous mettez à jour. Mais les WAF ne sont pas un substitut permanent au patching. Mettez toujours à jour les composants vulnérables dès que cela est pratique.

Q : Que faire si je ne peux pas accéder au tableau de bord admin pour mettre à jour ?

R : Si l'accès est restreint, connectez-vous avec votre hébergeur ou développeur pour mettre à jour le plugin via WP-CLI, SFTP, ou en remplaçant les fichiers du plugin par une source propre. Si vous soupçonnez une compromission active, travaillez à partir de sauvegardes et d'un environnement de confiance.

---

Liste de contrôle finale pour les propriétaires de sites et les administrateurs

• Vérifiez la version du plugin ; mettez à jour vers 10.8.2 ou une version ultérieure immédiatement.
• Si vous ne pouvez pas mettre à jour maintenant, activez le patching virtuel WAF de WP-Firewall pour bloquer les tentatives d'exploitation.
• Désactivez ou restreignez les inscriptions ouvertes jusqu'à ce que le patching soit terminé.
• Examinez et supprimez les comptes d'abonnés suspects ; appliquez des mots de passe forts et une authentification multi-facteurs.
• Scannez à la recherche de logiciels malveillants, de fichiers suspects, d'utilisateurs admin inattendus et de tâches planifiées.
• Surveillez les journaux pour les requêtes à admin-ajax.php et les points de terminaison REST correspondant aux modèles de plugin.
• Prenez une sauvegarde propre et stockez-la hors ligne avant les étapes majeures de remédiation.
• Renforcez votre site selon les recommandations à long terme ci-dessus.

---

Réflexions finales

Cette vulnérabilité de contrôle d'accès AcyMailing rappelle que le maillon le plus faible est souvent un point de terminaison de plugin qui suppose un utilisateur sur un chemin heureux. La bonne nouvelle est que les correctifs des fournisseurs et le patching virtuel basé sur WAF peuvent atténuer rapidement le risque immédiat. Agir plutôt que tard — mettre à jour les plugins, appliquer des correctifs virtuels et resserrer les contrôles d'inscription et de rôle des utilisateurs — réduit considérablement la chance d'une compromission réussie.

Si vous souhaitez de l'aide pour protéger plusieurs sites, configurer des règles WAF gérées, ou si vous avez besoin d'un second avis pour la réponse aux incidents, WP-Firewall est prêt à vous aider avec des protections automatisées et des plans de remédiation sur mesure.

Restez en sécurité, restez patché, et priorisez des atténuations rapides pour des problèmes de haute gravité comme CVE-2026-3614.

---

Ressources

• Entrée CVE
• Version du correctif du développeur : AcyMailing 10.8.2 (appliquez via les mises à jour WordPress ou installation manuelle)

---

Si vous souhaitez que nous analysions les journaux de votre site pour des signes d'exploitation, ou si vous souhaitez une mise à jour guidée et un renforcement, contactez notre équipe de support via votre tableau de bord WP-Firewall.