La faille wp2shell (CVE-2026-63030) est une vulnérabilité critique du cœur de WordPress qui permet à un attaquant d’exécuter du code à distance sans compte ni identifiants, en combinant un problème de routage dans l’API REST à une injection SQL logée dans la classe `WP_Query` (CVE-2026-60137).
WPScan lui attribue un score CVSS de 9,8/10, la CISA l’évalue à 7,5/10. Autant dire que ce n’est pas une alerte comme les autres.
Pourquoi cette faille sort du lot
D’habitude, quand une faille WordPress fait du bruit, elle vient d’un plugin ou d’un thème mal codé, pas maintenu, ou carrément abandonné. Là, non. La faille wp2shell touche des mécanismes internes de WordPress lui-même : le routage des requêtes REST API et la construction des requêtes SQL via `WP_Query`.
C’est cette combinaison qui rend l’exploitation possible sans qu’un attaquant ait besoin d’un compte utilisateur, ni que quiconque clique sur quoi que ce soit. Une requête bien construite suffit.
Quelles versions de WordPress sont concernées
Les correctifs sont sortis rapidement, et les versions concernées sont précises :
- WordPress 6.9 → à mettre à jour vers 6.9.5
- WordPress 7.0 → à mettre à jour vers 7.0.2
- WordPress 6.8 → à mettre à jour vers 6.8.6 (concerné uniquement par l’injection SQL, pas par l’exécution de code)
- Les versions antérieures à 6.8 ne sont pas concernées
Cloudflare a précisé un détail technique intéressant : l’exécution de code sans authentification touche surtout les installations en 6.9 et au-delà qui n’utilisent pas de cache d’objets persistant. Ce n’est pas une excuse pour ne pas patcher les autres, juste une nuance sur les conditions d’exploitation les plus immédiates.
Vu la gravité, des mises à jour automatiques forcées ont été déclenchées sur une partie du parc. Ce qui ne dispense pas de vérifier soi-même, dans le tableau de bord, que la version installée est bien la bonne.
Le vrai danger : les sites qu’on a oubliés
Ce qui m’a marqué en lisant les retours sur cette faille wp2shell, ce n’est pas tant la mécanique technique que l’angle « parc oublié ». Beaucoup d’organisations ont des sites WordPress qui traînent : une landing page d’événement passé, un environnement de démo, un ancien microsite jamais désinstallé.
Personne ne les administre, personne ne les regarde, mais ils sont toujours en ligne, accessibles, et donc scannables.
Et les scans, ça va vite. Dans ce genre de dossier, des campagnes automatisées commencent à tourner sur Internet quelques minutes après la divulgation publique d’une faille, sans cibler qui que ce soit en particulier elles cherchent juste des versions vulnérables, où qu’elles soient.
Un site que plus personne ne regarde depuis deux ans devient alors une porte d’entrée aussi valable qu’un site actif : defacement, dépôt de backdoor, vol de données côté serveur, page de phishing planquée dans un sous-dossier, ou simple relais pour attaquer ailleurs.
Ce que j’en pense
Je le dis souvent : le problème n’est presque jamais WordPress, mais ce qu’on en fait. Cette fois, c’est différent, et je préfère l’admettre plutôt que de forcer le discours habituel, la faille wp2shell touche directement le cœur du CMS, pas une extension tierce mal entretenue. C’est le genre d’épisode qui donne raison, un temps, à ceux qui pointent du doigt WordPress lui-même.
Cela dit, ce que cet épisode montre surtout, c’est que la vitesse de réaction compte plus que la nature de la faille. Un cœur bien maintenu, avec des mises à jour appliquées dans les jours qui suivent une divulgation, encaisse ce genre de choc sans dégât.
Ce sont les sites qu’on ne regarde plus qui trinquent et ça, ce n’est toujours pas un problème de WordPress, c’est un problème d’hygiène numérique : pas d’inventaire des sites en ligne, pas de suivi des correctifs, pas de décision claire pour désactiver ce qui ne sert plus.
Si vous gérez un site WordPress, la seule vraie question à vous poser n’est pas « est-ce que WordPress est sûr », mais « est-ce que je sais, à l’instant présent, quelle version tourne sur mon site et sur tous ceux que j’ai peut-être oubliés ». Si la réponse est floue, c’est là que ça mérite d’être vérifié.
Si vous voulez avoir le cœur net sur l’état de vos sites WordPress : versions, correctifs appliqués, sites oubliés inclus n’hésitez pas à me contacter via le formulaire ci-dessous pour un audit complet.
