wp2shell permet à un attaquant non authentifié d’exécuter du code à distance sur certaines installations WordPress, y compris sur un site dépourvu d’extensions. La publication d’une preuve de concept fonctionnelle augmente désormais le risque d’attaques automatisées contre les versions qui n’ont pas encore reçu les correctifs.
wp2shell touche directement le cœur de WordPress
wp2shell désigne une chaîne d’exploitation reposant sur deux vulnérabilités du cœur de WordPress : CVE-2026-60137 et CVE-2026-63030.
La première correspond à une injection SQL. La seconde exploite une confusion de routes dans le système de requêtes groupées de l’API REST. Une fois combinées, elles peuvent conduire à une exécution de code à distance avant authentification, aussi appelée RCE pré-authentification.
Un attaquant peut ainsi cibler un site sans disposer d’un compte WordPress valide. D’après les chercheurs à l’origine de la découverte, une installation standard peut être vulnérable même lorsqu’aucun plugin n’est installé.
Cette caractéristique rend la menace particulièrement sérieuse. L’attaque ne dépend pas d’une extension abandonnée ou d’un thème mal sécurisé : elle vise les composants intégrés au CMS.
Une attaque possible sans identifiant WordPress
La chaîne wp2shell ne nécessite aucune authentification préalable. Une simple requête HTTP spécialement préparée peut suffire à atteindre un site utilisant une version vulnérable.
Dans le pire scénario, l’attaquant peut faire exécuter des commandes par le serveur. Il pourrait alors modifier des fichiers, installer du code malveillant, voler des informations ou créer un accès persistant.
Une vulnérabilité de ce type donne potentiellement un contrôle important sur le site et son hébergement. Elle peut aussi servir à diffuser du spam, rediriger les visiteurs vers des pages frauduleuses ou héberger des contenus malveillants.
Des exploits publics facilitent les attaques automatisées
La diffusion publique d’une preuve de concept fonctionnelle réduit fortement le délai dont disposent les administrateurs pour appliquer les correctifs.
Des acteurs malveillants peuvent analyser le code publié, l’adapter et rechercher automatiquement les sites exposés. Une vulnérabilité documentée et accompagnée d’un exploit devient beaucoup plus facile à intégrer dans des outils d’attaque à grande échelle.
Cela ne signifie pas que chaque site vulnérable a déjà été compromis. Le risque augmente néanmoins dès lors que les étapes techniques nécessaires à l’exploitation deviennent accessibles publiquement.
Les versions WordPress concernées par wp2shell
La chaîne complète d’exécution de code à distance touche les versions suivantes :
- WordPress 6.9.0 à 6.9.4
- WordPress 7.0.0 et 7.0.1
Les correctifs ont été intégrés à WordPress 6.9.5 et WordPress 7.0.2.
Les versions antérieures à WordPress 6.9 ne sont pas concernées par la chaîne wp2shell complète. Le nombre total de sites utilisant WordPress ne correspond donc pas au nombre réel d’installations exposées.
Pour connaître le niveau de risque, il faut vérifier le numéro complet de la version installée. La présence de WordPress 6.9 ou 7.0 ne suffit pas : seules les versions corrigées protègent contre cette méthode d’attaque connue.
La mise à jour doit être vérifiée manuellement
WordPress a distribué les correctifs par l’intermédiaire de son système de mises à jour automatiques. Les administrateurs ne doivent toutefois pas supposer que leur site les a nécessairement reçus.
Une mise à jour automatique peut être désactivée, bloquée par l’hébergeur ou interrompue par une erreur. La version utilisée doit donc être contrôlée directement depuis le tableau de bord WordPress ou l’interface de gestion de l’hébergement.
Les sites concernés doivent installer au minimum WordPress 6.9.5 ou WordPress 7.0.2. Une version ultérieure intégrant ces corrections convient également.
Des protections temporaires existent avant la mise à jour
Lorsqu’une mise à jour immédiate est impossible, l’accès anonyme à l’API REST groupée peut être bloqué temporairement.
Les chercheurs recommandent notamment de filtrer les chemins /wp-json/batch/v1 et ?rest_route=/batch/v1 au niveau du pare-feu applicatif. Il est aussi possible de désactiver provisoirement l’accès non authentifié à l’API REST.
Ces mesures peuvent perturber certaines fonctions légitimes du site. Elles constituent uniquement une protection d’urgence et ne remplacent pas l’installation du correctif.
Un site corrigé peut rester compromis
La mise à jour empêche l’exploitation de wp2shell, mais elle ne supprime pas les modifications réalisées lors d’une éventuelle intrusion antérieure.
Les administrateurs doivent contrôler les comptes utilisateurs, les fichiers PHP récemment modifiés, les extensions ajoutées, les tâches planifiées et les journaux du serveur. La création inexpliquée d’un compte administrateur, l’apparition d’un fichier inconnu ou une redirection inhabituelle peuvent signaler une compromission.
Les mots de passe liés à WordPress, à l’hébergement, à la base de données et aux accès FTP ou SSH doivent être renouvelés en cas de doute. Les clés de sécurité du CMS doivent également être remplacées.
Une restauration depuis une sauvegarde saine peut être nécessaire. Cette sauvegarde doit dater d’avant l’intrusion présumée et être analysée avant sa remise en ligne.
La correction de wp2shell ne doit pas attendre
wp2shell réunit trois facteurs particulièrement dangereux : une attaque sans authentification, une faille située dans WordPress Core et un exploit désormais public.
Un site compromis peut continuer à fonctionner normalement sans présenter de signe immédiatement visible. La priorité consiste donc à vérifier la version installée, à appliquer le correctif et à rechercher d’éventuelles modifications suspectes sur le serveur.
Sources :
- Searchlight Cyber, « wp2shell: Pre Authentication RCE in WordPress Core », 17 juillet 2026. (Searchlight Cyber)
- The Hacker News, « New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code », mis à jour le 18 juillet 2026.
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
