wp2shell : la faille WordPress critique exploitée en masse, que faire

La plupart des piratages de sites WordPress passent par un plugin ou un thème vulnérable, mal tenu à jour. wp2shell change la donne : la faille est dans le cœur de WordPress lui-même, elle ne demande aucun identifiant, et elle est déjà exploitée à grande échelle. Un site parfaitement configuré, sans le moindre plugin douteux, peut être compromis en quelques secondes par un attaquant anonyme. Voici ce qu'il faut comprendre, comment vérifier si vous êtes concerné, et surtout quoi faire, car la mise à jour seule ne referme pas la porte une fois qu'elle a été ouverte.

Vérifiez votre site en 30 secondes. Notre outil gratuit de vérification wp2shell lit la version publiquement exposée de votre WordPress et vous dit immédiatement si vous êtes dans la plage vulnérable, sans rien attaquer.

#1. Ce qu'est wp2shell

wp2shell est le surnom donné à un enchaînement de deux vulnérabilités du cœur de WordPress :

• CVE-2026-63030 : une confusion de route dans le point d'entrée de traitement par lot de l'API REST de WordPress (l'endpoint /wp-json/batch/v1, présent dans une installation standard).
• CVE-2026-60137 : une injection SQL dans le cœur de WordPress (le paramètre author__not_in de WP_Query), qui n'est normalement atteignable que par un utilisateur authentifié.

Prise seule, l'injection SQL exige un compte. Mais la confusion de route contourne le contrôle qui la réservait aux utilisateurs connectés : chaînées, les deux failles permettent à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur qui héberge le site. C'est ce qui rend wp2shell aussi grave, c'est la première faille critique du cœur de WordPress exploitable sans aucun identifiant depuis près de dix ans.

Ce qui rend wp2shell particulièrement dangereuse, c'est l'absence totale de condition préalable : pas besoin d'un compte, pas besoin d'un plugin vulnérable, pas besoin d'une configuration exotique. Une installation WordPress par défaut, sans aucune extension, suffit à être exploitée par n'importe qui sur Internet.

Une fois l'exécution de code obtenue, le mode opératoire observé est constant : les attaquants déposent un webshell, une porte dérobée en PHP qui leur redonne la main à volonté sur le site. C'est ce webshell qui pose le vrai problème dans la durée, comme on le verra plus bas.

#2. Qui est concerné

Les versions de WordPress touchées par la chaîne complète (RCE non authentifié) sont :

• 6.9.0 à 6.9.4
• 7.0.0 à 7.0.1

Les versions 6.8.0 à 6.8.5 ne portent que la composante injection SQL, exploitable uniquement par un utilisateur déjà authentifié : elles ne sont pas exposées à la chaîne complète, mais restent à corriger.

Les correctifs ont été publiés le 17 juillet 2026 dans les versions 6.8.6, 6.9.5 et 7.0.2. Face à la gravité et à l'exploitation active, WordPress.org a activé une mise à jour automatique forcée pour les sites tournant sur une version vulnérable. Les deux failles ont depuis été inscrites au catalogue des vulnérabilités activement exploitées de la CISA (KEV), ce qui confirme officiellement leur usage dans des attaques réelles.

Le danger vient de la combinaison exploit public et scan de masse. Des codes d'exploitation sont dans la nature, et des acteurs malveillants balaient Internet en continu à la recherche de versions vulnérables. Ce n'est pas une attaque ciblée sur telle ou telle entreprise, c'est industriel : tout site accessible et non corrigé est une cible.

#3. Vérifier si vous êtes vulnérable

Deux vérifications, dans l'ordre.

1. Quelle version de WordPress faites-vous tourner ? Dans le tableau de bord, la version s'affiche dans « Tableau de bord > Mises à jour » et en bas à droite de l'administration. Si vous êtes en 6.9.0 à 6.9.4 ou 7.0.0 à 7.0.1, il faut passer en 6.9.5 ou 7.0.2 sans attendre.
2. La mise à jour automatique a-t-elle bien été appliquée ? Le correctif forcé a pu déjà mettre à jour votre site. Vérifiez que la version affichée est bien une version corrigée, et que les mises à jour automatiques ne sont pas désactivées par une configuration ou une extension.

Le plus simple pour situer votre site : vérifiez gratuitement si votre version de WordPress est vulnérable avec notre outil, qui lit uniquement la version publique sans rien attaquer. Évitez en revanche de lancer un code d'exploitation public contre votre propre site en production : vous risquez de le casser, de déclencher une alerte chez votre hébergeur, ou d'effacer des traces utiles si une compromission est déjà en cours. Pour aller plus loin, M-KIS réalise un diagnostic complet.

ATTENTION : passer en version corrigée bloque la faille pour l'avenir, mais ne fait rien contre une compromission qui aurait déjà eu lieu. Si un webshell a été déposé avant la mise à jour, il est toujours là après. Patcher un site déjà piraté donne une fausse impression de sécurité.

#4. Reconnaître un site déjà compromis

Comme l'exploitation est massive et rapide, la vraie question n'est pas seulement « suis-je à jour ? » mais « ai-je été touché avant de l'être ? ». Les signaux qui doivent alerter :

• Des fichiers PHP inconnus, aux noms aléatoires ou d'apparence anodine, dans wp-content/uploads, à la racine du site, ou dans les dossiers de thèmes et plugins.
• Des comptes administrateur que vous ne reconnaissez pas, ou des comptes existants dont le rôle a été élevé.
• Des fichiers du cœur de WordPress modifiés par rapport à leur version d'origine.
• Des tâches planifiées (cron) inconnues dans WordPress.
• Des connexions sortantes inhabituelles depuis le serveur, ou un pic de trafic injustifié.
• Un avertissement Google (« Ce site peut être piraté », Safe Browsing), une mise en liste noire, ou des mails de spam envoyés depuis votre domaine.
• Des redirections vers des sites tiers, ou du contenu injecté (spam, faux articles, liens cachés) visible seulement pour les moteurs de recherche.

Un seul de ces signes justifie un diagnostic sérieux. L'absence de signe visible ne garantit pas l'absence de compromission : un webshell bien fait reste silencieux jusqu'à ce qu'il serve.

#5. Que faire maintenant

Trois situations.

Vous êtes à jour et aucun signe suspect. Bonne nouvelle. Gardez les mises à jour automatiques activées, faites une sauvegarde saine, et surveillez les points de la section précédente pendant les prochaines semaines.

Vous êtes en retard de version. Sauvegardez, puis appliquez immédiatement 6.9.5 ou 7.0.2. Vérifiez ensuite les signes de compromission ci-dessus, car un site vulnérable a pu être touché avant votre mise à jour.

Votre site est déjà compromis. La mise à jour ne suffit pas. Une réponse propre passe par : isoler le site, réaliser un diagnostic pour identifier le webshell et le point d'entrée, retirer toutes les portes dérobées (il y en a souvent plusieurs), restaurer une version saine ou reconstruire proprement, changer tous les secrets (mots de passe, clés d'API, clés de sécurité WordPress, accès base de données et FTP/SSH), puis durcir la configuration. Si des données personnelles ont pu être exposées, l'article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la découverte.

#Ce qu'il ne faut surtout pas faire

• Croire que la mise à jour a tout réglé. Elle referme la faille, pas la porte dérobée déjà installée.
• Supprimer un fichier suspect au hasard sans avoir mesuré l'étendue de la compromission : on rate les autres portes dérobées et l'attaquant revient.
• Restaurer une sauvegarde sans savoir depuis quand le site est compromis : vous risquez de restaurer une version qui contient déjà le webshell.
• Attendre en espérant que ça passe. L'exploitation est automatisée et continue.

#Comment M-KIS intervient

Si votre site WordPress est concerné, notre offre secours de site piraté propose un diagnostic gratuit sous 2 heures, l'identification et la suppression des portes dérobées, la remise en ligne sécurisée et le durcissement. Pour aller plus loin sur la démarche, notre guide de récupération d'un site piraté détaille chaque étape.

Quand la compromission dépasse le site et touche le serveur (poste ou serveur infecté, autres services hébergés), elle relève de notre réponse à incident, avec une intervention dédiée aux serveurs infectés. Dans tous les cas, l'intervention est réalisée par nos propres moyens, sans sous-traitance, avec une réponse rapide par mail à [email protected] et un numéro d'urgence au 01 86 99 83 55.