WordPress vient de corriger wp2shell, une faille critique de son cœur qui permet à un attaquant de prendre le contrôle complet d'un site sans même avoir de mot de passe. Le code d'attaque circule déjà en ligne et fait tourner près de la moitié du web. Les versions 6.9.5, 7.0.2 et 6.8.6 corrigent le problème, et la mise à jour est vraiment urgente.
Deux failles qui s'enchaînent
Le souci ne vient pas d'un plugin mais du cœur même de WordPress, ce qui rend l'affaire nettement plus large. wp2shell combine en réalité deux failles. La première, référencée CVE-2026-63030, exploite une confusion dans l'API REST, l'interface par laquelle d'autres applications dialoguent avec le site, sur le point d'entrée /wp-json/batch/v1. La seconde, CVE-2026-60137, est une injection SQL, une technique qui consiste à glisser ses propres commandes dans la base de données via un paramètre de recherche mal filtré. Mises bout à bout, ces deux faiblesses laissent un inconnu exécuter du code à distance, autrement dit faire tourner ses propres programmes sur le serveur.
Une note de gravité proche du maximum
Les chiffres donnent le ton, puisque l'éditeur de sécurité WPScan attribue à la faille un score de 9,8 sur 10, tout près du plafond, quand l'agence américaine CISA reste un cran en dessous à 7,5. Les sites concernés tournent sous WordPress 6.9 jusqu'à la 6.9.4, ainsi que la 7.0 jusqu'à la 7.0.1, l'attaque complète fonctionnant sans authentification quand aucun cache d'objets persistant n'est en place. Les versions 6.8 et suivantes ne sont touchées que par l'injection SQL, déjà sérieuse en soi. Les correctifs sont sortis en urgence avec les moutures 7.0.2, 6.9.5 et 6.8.6.
Un code d'attaque déjà dans la nature
Le vrai problème, c'est le calendrier. La faille a été révélée le 17 juillet, et depuis, le mécanisme complet ainsi qu'un code d'exploitation prêt à l'emploi ont été publiés sur GitHub. Plusieurs sociétés de sécurité rapportent déjà des attaques réelles. Pour ceux qui ne peuvent pas mettre à jour dans la minute, la parade consiste à bloquer les adresses /wp-json/batch/v1 au niveau du pare-feu, ou à installer une extension qui coupe l'accès anonyme à l'API REST.
On en dit quoi ?
Une faille non authentifiée qui donne les clés d'un site dans le cœur du logiciel qui fait tourner près de 40% du web, c'est à peu près le pire scénario possible. La bonne nouvelle, c'est que le correctif existe déjà et qu'il suffit de l'appliquer. La mauvaise, c'est que des millions de sites mal entretenus ne le feront jamais à temps, et que le code d'attaque, lui, est déjà entre toutes les mains.
