Le 17 juillet, WordPress corrigeait en urgence deux failles au sein même de sa base logicielle. Depuis, de nombreux chercheurs en sécurité alertent sur une exploitation massive avec, parfois, un solide coup de main de l’IA.
La course contre la montre semblait perdue d’avance.
Le 17 juillet 2026, WordPress publiait les versions 7.0.2 et 6.9.5, censées corriger deux vulnérabilités du cœur du CMS, dont une faille critique aujourd’hui baptisée wp2shell.
Face au risque encouru, WordPress a même activé les mises à jour automatiques forcées, une me normalement réservée aux cas les plus graves. Cependant, cette mise à jour n’a pas touché les sites où l’auto-update était désactivé ou mal configuré. De plus, il fallait que le déploiement aille plus vite que les attaquants.
Selon Jake Knott, chercheur chez watchTowr, il était possible de reproduire la première faille quelques minutes à peine après sa divulgation, et la seconde avec un peu plus d’efforts, notamment à l’aide de modèles d’IA générative. « Une question de temps et de jetons », résume-t-il au média britannique The Register.
Dès le samedi matin, à peine plus de 24 heures après la sortie des correctifs, l’exploitation de wp2shell battait déjà son plein, d’abord pour exfiltrer des identifiants, puis pour obtenir une exécution de code complète.
Comment fonctionne wp2shell ?
La chaîne d’attaque combine deux faiblesses distinctes nichées au cœur même de WordPress, sans dépendre d’un plugin ou d’un thème installé.
La première, référencée CVE-2026-63030, se trouve dans une fonctionnalité de l’API permettant de regrouper plusieurs requêtes en une seule. Un bug dans cette vérification permet à une requête anodine d’être validée et exécutée comme si elle était sensible.
La seconde faille, CVE-2026-60137, est une injection SQL qui permet de manipuler directement la base de données. Elle se niche dans un paramètre censé filtrer les données reçues, mais ce filtrage ne s’active pas sous certaines conditions, laissant ainsi passer du code malveillant.
Patcher ne suffit plus forcément
WPScan attribue à wp2shell un score de gravité de 9,8 sur 10 ; la CISA retient pour l’instant 7,5.
La priorité reste la mise à jour. Les versions antérieures à WordPress 6.8 ne sont pas concernées. Un outil de vérification a été mis en ligne pour tester si un site est vulnérable.
Cependant, patcher ne suffit plus. WatchTowr recommande à tous les administrateurs de vérifier l’apparition de nouveaux comptes admin, de plugins suspects ou de fichiers inconnus.
Source : The Register, watchTowr
