WordPress : la faille « wp2shell » impose de vérifier vos mises à jour

Le 17 juillet 2026, WordPress a publié en urgence trois mises à jour de sécurité. Elles corrigent deux failles qui, combinées, permettent à un attaquant de prendre le contrôle d’un site sans le moindre compte. Fait rare : aucune extension n’est en cause, c’est le cœur même de WordPress qui est touché. Voici ce qui s’est passé et ce que vous devez vérifier dès maintenant.

Deux failles qui, ensemble, ouvrent grand la porte

Dans son annonce de sécurité, l’équipe de WordPress détaille deux vulnérabilités, l’une jugée critique, l’autre de gravité élevée :

• CVE-2026-60137, une injection SQL, qui permet de manipuler les requêtes envoyées à la base de données du site ;
• CVE-2026-63030, une confusion de routes dans l’API REST de traitement par lots, l’interface qui permet d’envoyer plusieurs requêtes en une seule fois.

Enchaînées, ces failles mènent à une exécution de code à distance : l’attaquant peut faire exécuter ses propres commandes par le serveur. Les chercheurs à l’origine de la découverte ont baptisé cette attaque « wp2shell ». Comme le souligne IT-Connect, l’attaque ne demande ni compte utilisateur, ni réglage particulier, ni extension tierce : il suffit que le site soit accessible, et la faille est présente dans une installation par défaut.

Les versions concernées sont les suivantes :

• WordPress 7.0.0 et 7.0.1, exposées aux deux failles, corrigées par la version 7.0.2 ;
• WordPress 6.9.0 à 6.9.4, également exposées aux deux failles, corrigées par la version 6.9.5 ;
• WordPress 6.8, concernée par la seule injection SQL, corrigée par la version 6.8.6 ;
• Les versions antérieures à 6.8, non concernées par ces deux failles.

Une alerte du CERT-FR et une preuve de concept publique

Le 20 juillet, le CERT-FR, centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques, a publié l’alerte CERTFR-2026-ALE-007. Il indique avoir connaissance d’une preuve de concept publique, un code qui démontre l’attaque, et anticipe des tentatives d’exploitation massives. Sa recommandation est claire : appliquer les correctifs dans les plus brefs délais.

Pour les sites qui ne pourraient pas être mis à jour immédiatement, les chercheurs suggèrent une mesure d’attente : bloquer, au niveau d’un pare-feu applicatif Web, les requêtes vers le traitement par lots de l’API REST, qu’elles passent par l’adresse « /wp-json/batch/v1 » ou par le paramètre « rest_route=/batch/v1 ». Ce n’est qu’un palliatif : seule la mise à jour corrige réellement la faille.

La mise à jour automatique : un filet de sécurité à vérifier

Bonne nouvelle : l’équipe de WordPress.org a forcé la mise à jour automatique des sites concernés. De nombreux sites ont donc été corrigés sans intervention. Mais ne le tenez pas pour acquis : les mises à jour automatiques peuvent avoir été désactivées, par un développeur, une extension ou une configuration de l’hébergement, ou avoir échoué, faute de droits d’écriture sur les fichiers par exemple.

Les bons réflexes à adopter cette semaine :

1. Vérifiez la version installée dans la rubrique « Mises à jour » de votre tableau de bord : 7.0.2, 6.9.5 ou 6.8.6 selon votre branche ;
2. Mettez à jour manuellement si la version n’a pas changé ;
3. Passez en revue tous vos sites, y compris les sites de test et les anciens sites oubliés ;
4. Mettez aussi à jour vos extensions et votre thème dans la foulée ;
5. Contrôlez vos sauvegardes : elles doivent être récentes et se restaurer réellement.

Au-delà de l’urgence : PHP et sauvegardes

Un site WordPress repose aussi sur une version de PHP, le langage qui l’exécute sur le serveur. WordPress 7.0, sorti le 20 mai 2026, fonctionne encore avec PHP 7.4, mais WordPress recommande désormais PHP 8.3 ou plus récent. Les versions plus anciennes de PHP, comme la 7.4, ne reçoivent plus de correctifs de sécurité : un site à jour qui tourne sur un PHP obsolète reste fragile.

Autre leçon : quand une faille permet d’exécuter du code sur le serveur, un site compromis peut avoir été modifié en profondeur, avec des fichiers ajoutés ou une base de données altérée. Une sauvegarde saine, conservée assez longtemps pour remonter avant l’attaque, fait alors toute la différence entre une remise en ligne rapide et une reconstruction complète.

Un site WordPress maintenu à jour sans y penser

C’est précisément pour éviter ces situations que nous proposons un hébergement WordPress infogéré, pensé d’abord pour la sécurité. Votre site est confié à une équipe qui s’en occupe pour vous :

• Les mises à jour de WordPress, des extensions et des thèmes, sans que vous ayez à y penser ;
• Un environnement performant, avec PHP et MySQL à jour et une haute disponibilité ;
• Une protection contre les attaques : anti-DDoS, protection contre les tentatives de connexion en force et détection des modifications non autorisées de fichiers ;
• Une administration sécurisée, avec double authentification, mots de passe robustes et adresse de connexion personnalisée ;
• Des sauvegardes de 14 jours pour vos fichiers et de 31 jours pour vos bases de données ;
• Une supervision proactive : nous surveillons votre site et prenons en charge un incident avant même que vous nous le signaliez.

Trois formules sont proposées. La formule Starter réunit l’hébergement sécurisé et maintenu à jour. La formule Plus renforce la surveillance, avec des sauvegardes quotidiennes conservées 90 jours, la détection des logiciels malveillants et des failles, et le contrôle de la disponibilité chaque minute. La formule Premium ajoute des statistiques de visite basées sur Matomo, hébergées en France et conformes au RGPD.

En résumé

La faille « wp2shell » montre qu’un site WordPress peut être exposé sans la moindre extension douteuse ni erreur de votre part. La mise à jour automatique a protégé de nombreux sites, mais elle ne remplace ni la vérification, ni un PHP récent, ni des sauvegardes fiables. Vous souhaitez faire le point sur l’hébergement et la maintenance de votre site ? Parlons-en : l’équipe vous aide à le sécuriser durablement.