WordPress corrige wp2shell, une faille critique du Core permettant une exécution de code sans authentification sur certaines versions.
wp2shell : une faille critique dans WordPress Core permet l’exécution de code
WordPress vient de corriger une faille critique surnommée wp2shell, qui touche directement le Core du CMS.
Le point important : il ne s’agit pas d’un plugin vulnérable, ni d’un thème mal maintenu. La faille se trouve dans WordPress lui-même, et peut toucher une installation standard sans extension particulière.
D’après Searchlight Cyber et l’avis de sécurité WordPress publié sur GitHub, la vulnérabilité permet une exécution de code à distance sans authentification lorsqu’elle est exploitée avec une autre faille d’injection SQL.
Deux failles chaînées
wp2shell repose sur une chaîne de deux problèmes :
- CVE-2026-63030 : une confusion de route dans l’API REST batch de WordPress ;
- CVE-2026-60137 : une injection SQL dans WordPress Core.
Prises ensemble, ces failles peuvent permettre à un attaquant non authentifié d’aller jusqu’à l’exécution de code à distance.
C’est ce qui rend le sujet sérieux : un simple accès HTTP au site peut suffire dans les versions vulnérables, sans compte utilisateur, sans plugin précis, et sans configuration exotique.
Quelles versions sont concernées ?
Les versions exposées à la chaîne RCE sont :
- WordPress 6.9.0 à 6.9.4 ;
- WordPress 7.0.0 à 7.0.1.
Les correctifs sont disponibles dans :
- WordPress 6.9.5 ;
- WordPress 7.0.2 ;
- WordPress 7.1 beta2 pour la branche bêta.
WordPress 6.8 est concerné par l’injection SQL, mais pas par toute la chaîne RCE wp2shell. La version 6.8.6 corrige cette partie.
D’après l’annonce officielle, les versions antérieures à WordPress 6.8 ne sont pas concernées par ces vulnérabilités.
Mise à jour forcée, mais vérification obligatoire
WordPress indique avoir activé des mises à jour forcées via son système d’auto-update pour les sites utilisant des versions affectées.
C’est une bonne chose, mais il ne faut pas se reposer uniquement là-dessus. Certains hébergeurs, configurations ou installations personnalisées peuvent bloquer ou retarder les mises à jour automatiques.
Le bon réflexe est donc simple : se connecter à l’administration WordPress et vérifier la version réellement installée.
Si votre site tourne en WordPress 6.9.x ou 7.0.x, vérifiez immédiatement qu’il est au minimum en 6.9.5 ou 7.0.2. Ne partez pas du principe que l’auto-update est déjà passé.
Que faire si l’on ne peut pas mettre à jour tout de suite ?
La vraie solution reste la mise à jour.
Mais si une mise à jour immédiate est impossible, Searchlight Cyber recommande de bloquer temporairement l’accès anonyme à l’API REST batch.
Les routes à surveiller ou bloquer côté WAF sont notamment :
/wp-json/batch/v1
?rest_route=/batch/v1
Cette mitigation peut casser certaines intégrations légitimes. Il faut donc la voir comme une mesure d’urgence, pas comme un correctif durable.
Cloudflare indique aussi avoir déployé des règles WAF pour protéger les sites WordPress placés derrière ses services.
Un exploit public change la priorité
The Hacker News rapporte qu’un proof-of-concept fonctionnel est désormais public sur GitHub.
Cela ne veut pas forcément dire que tous les sites vulnérables sont déjà compromis, mais cela change clairement le niveau d’urgence. Dès qu’un correctif est publié et que le code est open source, les attaquants peuvent comparer les versions et comprendre rapidement ce qui a été corrigé.
Pour WordPress, l’histoire est malheureusement connue : dès qu’une faille exploitable à grande échelle apparaît, les scans automatisés suivent très vite.
Mon avis
Cette faille mérite d’être prise très au sérieux.
Le fait qu’elle touche WordPress Core, qu’elle ne nécessite pas d’authentification et qu’elle puisse concerner une installation sans plugin rend le sujet plus critique qu’une faille classique dans une extension.
Si vous gérez un site WordPress, même un petit blog, vérifiez la version maintenant. Un site “simple” n’est pas forcément moins ciblé : les attaques WordPress sont très largement automatisées.
La bonne nouvelle, c’est que les correctifs existent déjà. La mauvaise, c’est que le temps joue contre les sites qui ne les appliquent pas rapidement.
Sources
WordPress - WordPress 7.0.2 Release
GitHub Advisory - CVE-2026-63030
Searchlight Cyber - wp2shell
The Hacker News - wp2shell WordPress Core flaw
Cloudflare - protection WAF contre les vulnérabilités WordPress