wp2shell : ce qu'il faut savoir sur la faille RCE critique de WordPress

Ce qui a été corrigé

Les versions 6.9.5 et 7.0.2 de WordPress ont été publiées le 17 juillet 2026 pour corriger la chaîne de vulnérabilités wp2shell. La faille a été découverte et divulguée de manière responsable par Adam Kues d'Assetnote, une société de Searchlight Cyber . En raison de sa gravité, l'équipe WordPress a activé les mises à jour automatiques forcées pour tous les sites concernés .

Identifiants

L'attaque wp2shell est une chaîne de deux vulnérabilités :

• CVE-2026-63030 — Un problème de confusion de route dans le point de terminaison batch de l'API REST. Noté critique, avec un score CVSS de 9.8 . (Les premiers rapports d'une source mentionnaient 7,5, mais plusieurs éditeurs de sécurité l'ont révisé à 9,8 .)
• CVE-2026-60137 — Une injection SQL non authentifiée dans le paramètre author__not_in de WP_Query. Notée de sévérité élevée .

Versions affectées

• WordPress 6.9.x : toutes les versions antérieures à 6.9.5 (6.9.0 à 6.9.4)
• WordPress 7.0.x : toutes les versions antérieures à 7.0.2 (7.0.0 et 7.0.1)
• L'ancienne branche 6.8.x a reçu un correctif vers 6.8.6

Détails techniques

L'attaque wp2shell enchaîne deux bugs :

1. CVE-2026-60137 est une injection SQL non authentifiée. En envoyant des requêtes HTTP spécialement conçues au paramètre author__not_in, un attaquant peut injecter du SQL malveillant dans la base de données WordPress sans aucune information de connexion.

2. CVE-2026-63030 est un défaut de confusion de route dans le point de terminaison batch de l'API REST (/wp-json/batch/v1). Ce point de terminaison traite plusieurs sous-requêtes en un seul appel. Un défaut d'analyse fait que deux tableaux internes se désynchronisent, permettant à un attaquant de contourner les restrictions de route et d'enchaîner des appels API internes qui seraient normalement interdits .

Combinées, l'attaquant utilise le point de terminaison batch pour effectuer des requêtes imbriquées qui exploitent l'injection SQL. Cela dégénère en exécution de code à distance complète en :

• Écrivant des données arbitraires (comme un webshell PHP) dans le système de fichiers via la commande MySQL INTO OUTFILE, ou
• Manipulant les options WordPress qui exécutent du PHP .

L'attaque ne nécessite aucune authentification, aucun plugin, et fonctionne sur une installation WordPress par défaut . Depuis le 18 juillet 2026, un vérificateur public de preuve de concept a été publié sur wp2shell.com, et un exploit PoC fonctionnel circule .

Une nuance importante : un cache d'objets persistant (comme Redis ou Memcached) peut partiellement atténuer ou modifier le chemin d'exploitation, mais n'élimine pas la vulnérabilité sous-jacente .

Mesures de correction

1. Mettez à jour immédiatement — Passez à WordPress 6.9.5, 7.0.2 ou 6.8.6. La plupart des sites avec les mises à jour automatiques activées devraient avoir déjà reçu la mise à jour forcée .
2. Vérifiez votre version — Allez dans Tableau de bord → Mises à jour ou consultez wp-includes/version.php.
3. Si vous ne pouvez pas mettre à jour tout de suite, déployez un correctif virtuel ou une règle WAF. Cloudflare a publié des règles WAF bloquant spécifiquement le vecteur d'attaque wp2shell .
4. Recherchez des indicateurs de compromission — Cherchez des fichiers inattendus dans wp-content/uploads/, des utilisateurs administrateurs inconnus ou des entrées de base de données inhabituelles. Bien qu'aucune exploitation de masse n'ait été confirmée, le PoC public signifie que le scan a probablement commencé.
5. Vérifiez les privilèges de l'utilisateur de la base de données — Assurez-vous que l'utilisateur de la base de données WordPress ne possède pas le privilège FILE (qui active INTO OUTFILE). Cela limite la voie d'escalade vers la RCE.

Pourquoi la nature open source de WordPress pose un risque aigu

Même sans exploitation confirmée dans la nature, le modèle open source a introduit un risque distinctif et aigu pour wp2shell :

• Transparence totale du code source pour les attaquants — Parce que WordPress est open source, n'importe qui peut télécharger les versions corrigées, comparer le code avec les versions vulnérables et rétro-concevoir le chemin d'exploitation exact en quelques heures après la publication du correctif. Les éditeurs de sécurité ont confirmé que la comparaison du code source révèle immédiatement le code vulnérable .
• Fenêtre de temps raccourcie pour les défenseurs — Contrairement aux logiciels propriétaires où le développement d'exploit nécessite des recherches indépendantes sur les vulnérabilités, un correctif open source publie effectivement les détails de la vulnérabilité. Les défenseurs doivent corriger globalement en quelques heures, pas en quelques jours.
• Surface d'attaque massive et diverse — WordPress alimente environ 43 % de tous les sites web. Des millions d'installations sont gérées par des opérateurs ayant des niveaux de maturité de sécurité variables. De nombreux sites sont négligés, utilisent des versions PHP obsolètes ou n'ont pas de mises à jour automatiques, devenant des cibles faciles une fois le code d'exploit public .
• Faible barrière à l'armement — Le vérificateur PoC et le code d'exploit ont été publiés dans les 24 heures suivant le correctif . Tout attaquant modérément compétent peut adapter le code public en une arme de balayage de masse.
• Aucune barrière d'authentification — Toute la chaîne est pré-authentification et fonctionne contre une installation standard de WordPress. Un attaquant n'a besoin ni d'identifiants valides, ni d'un plugin vulnérable, ni d'une configuration spéciale. Cela abaisse considérablement l'effort nécessaire pour armer la vulnérabilité à grande échelle .

En bref, le modèle open source signifie que le correctif lui-même devient le document de divulgation détaillé, et la base d'installation massive et de qualité variable garantit une longue traîne de cibles vulnérables — créant une période à haut risque même avant toute exploitation "officielle" observée.