WordPress corrige une faille critique permettant de pirater des sites

WordPress a publié vendredi des mises à jour de sécurité d'urgence, corrigeant une vulnérabilité critique d'exécution de code à distance pré-authentification qui permet à un attaquant anonyme de prendre le contrôle total de n'importe quelle installation WordPress par défaut avec une seule requête HTTP.

La vulnérabilité

Les versions 7.0.2 et 6.9.5, publiées le 17 juillet 2026, corrigent la faille répertoriée sous le nom CVE-2026-63030 et surnommée "wp2shell" par les chercheurs qui l'ont découverte. La vulnérabilité enchaîne une confusion de routage de requête par lots de l'API REST avec une injection SQL pour obtenir une exécution de code à distance (RCE) non authentifiée, la classe la plus grave de vulnérabilité web, sans nécessiter de connexion, de configuration spéciale ou de plugins.nebula+3

Le bug affecte WordPress de la version 6.9.0 à 6.9.4 et de la version 7.0.0 à 7.0.1. Un problème d'injection SQL connexe mais moins grave, CVE-2026-60137, affecte les versions à partir de 6.8 et est corrigé dans la version 6.8.6. Les versions antérieures à 6.8 ne sont affectées par aucun de ces problèmes.aikido+2

Selon un article de blog de Cloudflare ↘ 10.51% publié vendredi, la RCE est exploitable "lorsqu'un cache d'objets persistant n'est pas utilisé", une condition qui s'applique à la plupart des déploiements WordPress standard. L'équipe de sécurité de WordPress a divulgué les vulnérabilités à Cloudflare avant la publication publique, permettant à l'entreprise de déployer des protections WAF à 17h03 UTC.cloudflare

Atténuation et réponse

WordPress.org a activé les mises à jour automatiques forcées pour les sites concernés, bien que les déploiements avec les mises à jour automatiques désactivées ou les environnements sous contrôle de version puissent ne pas recevoir le correctif automatiquement. L'avis officiel de publication de WordPress l'a qualifié de "classe de problème de plus haute gravité et de plus haute priorité" pour l'organisation.wordpress+2

Pour les sites qui ne peuvent pas appliquer le correctif immédiatement, il est conseillé aux équipes de sécurité de bloquer à la fois `/wp-json/batch/v1` et la forme de chaîne de requête `?rest_route=/batch/v1` au niveau du WAF. Bloquer uniquement le chemin de permalien propre laisse la route alternative exposée.nebula+1

Le paradoxe de l'open source

Parce que WordPress est open source, l'archive de publication publique rend le correctif, et par extension une feuille de route vers le bug, simultanément disponible pour les défenseurs et les attaquants. Aucune exploitation n'a été signalée au moment de la divulgation, mais les chercheurs en sécurité ont noté qu'avec les vulnérabilités RCE du noyau, "les heures comptent plus que les jours". WordPress propulse environ 40 pour cent de tous les sites web, faisant de la fenêtre entre la disponibilité du correctif et son adoption généralisée une période de risque aigu pour les installations non corrigées.nebula