WordPress : deux failles critiques exposent des sites à une prise de contrôle à distance
Deux vulnérabilités découvertes directement dans le cœur de WordPress permettent à des cybercriminels de compromettre un site sans disposer d’identifiants. Plusieurs versions du CMS sont concernées et de premières tentatives d’exploitation ont déjà été détectées.
Aucune extension vulnérable ni mot de passe dérobé n’est nécessaire. Deux failles de sécurité identifiées dans WordPress peuvent être combinées pour permettre à un attaquant de prendre le contrôle d’un site à distance, simplement en envoyant des requêtes spécialement conçues.
Baptisée « WP2Shell », cette méthode d’attaque a été mise au jour par Adam Kues, chercheur en cybersécurité chez Searchlight Cyber. Sa particularité est de s’appuyer sur deux vulnérabilités présentes directement dans le cœur du système de gestion de contenu, et non dans l’un des nombreux plugins disponibles pour WordPress.
Deux vulnérabilités qui se combinent
La première, référencée CVE-2026-63030, concerne le fonctionnement de l’API REST de WordPress et plus précisément le traitement de certaines requêtes groupées. La seconde, CVE-2026-60137, correspond à une vulnérabilité de type injection SQL affectant un paramètre utilisé par la fonction WP_Query.
Prises séparément, ces deux failles présentent déjà des risques. Leur combinaison permet toutefois d’aller beaucoup plus loin puisqu’elle peut aboutir à l’exécution de code à distance sur le serveur hébergeant le site.
Les versions de WordPress comprises entre 6.9.0 et 6.9.4 ainsi qu’entre 7.0.0 et 7.0.1 sont concernées. La vulnérabilité liée à l’injection SQL touche également les versions 6.8.0 à 6.8.5.
Des tentatives d’exploitation déjà repérées
Searchlight Cyber avait initialement choisi de ne pas publier immédiatement l’ensemble des détails techniques afin de laisser suffisamment de temps aux administrateurs pour sécuriser leurs installations.
Des démonstrations permettant d’exploiter les vulnérabilités ont néanmoins commencé à circuler publiquement. Certaines méthodes permettent notamment de récupérer des empreintes de mots de passe grâce à l’injection SQL, avant de tenter de compromettre un compte administrateur puis d’installer une extension malveillante.
D’autres techniques permettraient une compromission plus directe du serveur, sans avoir à récupérer préalablement le mot de passe d’un administrateur. Des premiers signes d’exploitation ont par ailleurs été observés, selon Benjamin Harris, dirigeant de la société de cybersécurité watchTowr.
WordPress pousse automatiquement les correctifs
Face au niveau de risque, WordPress a pris une mesure inhabituelle en déclenchant le déploiement automatique des versions corrigées 6.9.5 et 7.0.2 sur les installations concernées.
Pour une grande partie des sites, la correction peut donc être appliquée sans intervention de l’administrateur. Mais cette protection ne fonctionne pas lorsque les mises à jour automatiques ont été désactivées manuellement.
Une pratique relativement courante chez certains administrateurs et hébergeurs, qui préfèrent tester les nouvelles versions avant leur déploiement afin d’éviter d’éventuelles incompatibilités. Ces installations doivent donc être mises à jour manuellement pour ne plus rester exposées.
Cloudflare a également mis en place des règles de filtrage destinées à bloquer les tentatives d’exploitation des deux vulnérabilités.
Pour les administrateurs qui ne peuvent pas appliquer immédiatement les correctifs, une protection temporaire consiste notamment à empêcher les utilisateurs non authentifiés d’accéder au point d’entrée « batch » de l’API REST, en prenant en compte ses différentes formes d’accès.
L’épisode rappelle surtout que maintenir à jour WordPress lui-même est aussi indispensable que surveiller les extensions installées. Dans le cas de WP2Shell, c’est en effet le cœur du CMS qui constitue directement la porte d’entrée potentielle des attaquants.
