WordPress est victime d’un incident de sécurité. Une vulnérabilité critique, baptisée « wp2shell », vient d’être débusquée dans le cœur du système open source qui alimente des centaines de millions de sites dans le monde, du petit blog au site d’e‑commerce de grande envergure. La faille met en danger tout l’écosystème WordPress.
I reported a pre auth RCE in WordPress – it can be exploited with no preconditions, patch your instances!https://t.co/fTbNVNMd90
— hashkitten (@hash_kitten) July 17, 2026
À lire aussi : Des centaines de milliers de sites en danger – une porte dérobée a été découverte dans 30 plugins WordPress
Une faille qui peut être exploitée par un simple visiteur
Découverte par l’équipe de recherche de Searchlight Cyber, la faille permet à un pirate d’exécuter du code malveillant sur un site WordPress. Pour exécuter son code, l’attaquant n’a pas besoin d’être connecté au site web. L’attaque peut être lancée par n’importe quel internaute qui visite le site. Le pirate n’a pas besoin de s’authentifier sur le système pour exploiter la faille, il lui suffit d’envoyer une requête taillée sur mesure vers le site WordPress. Pour une fois, la faille ne vient pas d’un plugin vulnérable ajouté par l’administrateur, mais du cœur même de WordPress. C’est pourquoi elle est redoutable.
Deux vulnérabilités à l’origine de wp2shell
Concrètement, « wp2shell » n’est pas une seule faille isolée, mais une chaîne d’attaque. Cette chaîne est composée de deux vulnérabilités. La première faille est apparue avec la mise à jour WordPress 6.9. Elle permet de détourner la manière dont certaines requêtes sont traitées par le cœur de WordPress. La seconde défaillance permet à un attaquant de faire passer du contenu malveillant dans une requête SQL, c’est‑à‑dire dans la commande envoyée à la base de données du site pour lire ou modifier des informations. Combinées, ces deux failles permettent à un attaquant non authentifié de passer du statut de simple visiteur à celui de maître du serveur. Il peut alors exécuter du code sur WordPress sans la moindre entrave.
À lire aussi : 8,7 millions de cyberattaques contre des sites WordPress – 2 plugins vulnérables ouvrent la porte aux hackers
Quelles versions sont vulnérables ?
Les versions de WordPress vulnérables sont les itérations 6.9.0 à 6.9.4 et les 7.0.0 à 7.0.1. Pour corriger la faille, WordPress a publié en urgence les versions 6.9.5 et 7.0.2, qui neutralisent l’ensemble de la chaîne d’attaque. Au vu de la gravité de la situation, WordPress s’est permis d’activer les mises à jour automatiques forcées pour les sites compatibles. Cette mesure exceptionnelle doit permettre de réduire rapidement le nombre de sites vulnérables afin d’éviter les abus.
« Cette mise à jour corrige une faille de sécurité : il est donc essentiel de mettre à jour vos sites sans attendre. Vu la gravité de la faille, l’équipe de WordPress.org a même activé les mises à jour forcées via le système de mise à jour automatique, pour tous les sites tournant sous les versions concernées », peut-on lire sur le site de WordPress.
En dépit de la réactivité de WordPress, les pirates ont rapidement trouvé le moyen d’exploiter les failles. Des méthodes d’exploitation complètes et fonctionnelles ont été publiées sur GitHub. Bien vite, de nombreux chercheurs ont constaté des tentatives d’exploitation visant des sites WordPress. Les pirates n’ont pas tardé à passer à l’action. Sans surprise, ils cherchent à profiter de la brèche avant qu’elle ne soit complètement colmatée.
Seems that wp2shell PoCs are now floating around the internet, so we’ve published our blog post including our research methodology for finding the bug as well as a deep dive into the chain itself – https://t.co/iuU0yiYJBT
— hashkitten (@hash_kitten) July 20, 2026
Votre site est-il vulnérable ?
Dans ces conditions, Searchlight Cyber a pris le parti de différer la publication complète des détails techniques, afin de laisser du temps aux administrateurs d’installer les correctifs mis en ligne par WordPress. Un site de test public, wp2shell.com, qui permet de vérifier si une instance WordPress est vulnérable, a par ailleurs été mis en ligne. Il suffit d’entrer l’adresse de son site dans la barre de recherche dédiée pour découvrir dans la seconde s’il est vulnérable.
En parallèle, Cloudflare a pris des mesures spécifiques pour bloquer les tentatives d’exploitation des deux vulnérabilités sur les sites qu’ils protègent, y compris sur les offres gratuites. Des filtres ont été mis en place pour réduire la surface d’attaque en attendant que tous les sites puissent installer la mise à jour adéquate.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Searchlight Cyber
