« Une question de temps et de jetons » : comment la faille wp2shell a mis tous les sites WordPress sous tension
Le 17 juillet, WordPress corrigeait en urgence deux failles au sein même de sa base logicielle. Depuis, de nombreux chercheurs en sécurité alertent sur une exploitation massive avec, parfois, un solide coup de main de l'IA..
Le 17 juillet 2026, WordPress a publié en urgence deux mises à jour majeures (versions 7.0.2 et 6.9.5) pour corriger deux failles critiques dans son système, dont la fameuse faille wp2shell. Ces correctifs ont été qualifiés de prioritaires, car ils concernent le cœur même du logiciel, appelé CMS (Content Management System, ou système de gestion de contenu en français), qui alimente environ 43 % des sites web dans le monde. Pour limiter les risques, WordPress a même activé des mises à jour automatiques forcées, une procédure exceptionnelle réservée aux menaces les plus graves. Malgré cela, certains sites n’ont pas pu être protégés, notamment ceux où les mises à jour automatiques étaient désactivées ou mal configurées. Les chercheurs en sécurité estiment que la fenêtre de vulnérabilité est restée ouverte assez longtemps pour permettre des attaques massives.
La faille wp2shell combine deux vulnérabilités distinctes pour permettre aux pirates d’exécuter du code malveillant sur un site WordPress, même sans avoir de compte administrateur. La première faille, référencée CVE-2026-63030, se situe dans une fonctionnalité de l’API (Application Programming Interface, ou interface de programmation en français) de WordPress. Cette API permet de regrouper plusieurs requêtes en une seule pour optimiser les échanges entre le site et les serveurs. Cependant, une erreur dans le système de vérification de ces requêtes permet à un attaquant d’injecter du code malveillant. La seconde faille, CVE-2026-60137, est une injection SQL (Structured Query Language), une technique qui consiste à manipuler les requêtes envoyées à la base de données du site pour en prendre le contrôle. Ensemble, ces deux failles forment une chaîne d’attaque appelée wp2shell, capable de donner un accès complet au site.
Dès 24 heures après la publication des correctifs, les attaques exploitant la faille wp2shell ont commencé à se multiplier. Selon Jake Knott, chercheur chez watchTowr, il était possible de reproduire la première faille quelques minutes seulement après sa divulgation. La seconde faille nécessitait un peu plus d’efforts, mais l’utilisation de modèles d’IA générative a accéléré le processus. Les attaquants ont d’abord exploité la faille pour voler des identifiants de connexion, puis pour exécuter du code à distance (RCE, pour Remote Code Execution). Les chercheurs soulignent que cette rapidité d’exploitation est sans précédent et montre à quel point les outils automatisés, y compris l’IA, peuvent amplifier les cybermenaces. En moins de 48 heures, des milliers de sites auraient déjà été compromis.
Même avec la mise à jour appliquée, les experts en sécurité recommandent une vigilance accrue. En effet, les pirates pourraient avoir déjà créé des *comptes administratifs* ou installé des *plugins* malveillants avant que les correctifs ne soient déployés. WordPress conseille donc de vérifier manuellement la liste des utilisateurs et des extensions installées sur son site. Les chercheurs recommandent également de surveiller les activités suspectes, comme des connexions inhabituelles ou des modifications de fichiers. Sans ces vérifications, patcher seul pourrait ne pas suffire à garantir la sécurité du site. Les propriétaires de sites WordPress sont donc invités à agir rapidement et à adopter une approche proactive pour limiter les risques.
