CVE-2026-64638 XSS2Shell : le XSS non-auth qui mène au RCE sur 43% du web

Les faits

Le 7 août 2026, les chercheurs de pwn.ai ont divulgué CVE-2026-64638, baptisée XSS2Shell, une vulnérabilité de type cross-site scripting (XSS) non authentifiée présente dans WordPress Core. Notée CVSS 8.9 (High), cette faille affecte toutes les branches activement maintenues du CMS, de la version 6.4 à la version 7.0.2. WordPress propulsant plus de 43 % des sites web à l'échelle mondiale selon les dernières statistiques de parts de marché, le périmètre exposé représente plusieurs centaines de millions d'installations.

La spécificité de XSS2Shell réside dans sa chaîne d'exploitation : là où un XSS classique requiert généralement une interaction utilisateur avancée pour déboucher sur un impact sérieux, CVE-2026-64638 permet à un attaquant totalement non authentifié d'injecter du JavaScript arbitraire via la page de connexion de WordPress (wp-login.php), puis d'enchaîner cette injection vers une exécution de code PHP distante complète — sans jamais posséder de compte sur le site cible.

La cause racine est un désaccord de parseur entre deux fonctions PHP au sein de la pipeline de sanitisation de WordPress. Lorsqu'un visiteur soumet un nom d'utilisateur inexistant sur wp-login.php, WordPress répercute cette valeur dans un message d'erreur après l'avoir passée par wp_strip_all_tags(). Or, en insérant un espace entre un chevron ouvrant et le nom d'une balise (par exemple : < area), la fonction PHP sous-jacente strip_tags() interprète la chaîne comme du texte anodin et la laisse passer intacte. Le résultat s'affiche alors directement dans le DOM sans encodage HTML adéquat.

L'exploitation concrète se déroule en deux phases distinctes. Phase 1 : l'attaquant envoie une requête POST soigneusement forgée vers wp-login.php, avec un payload XSS dans le champ log. WordPress renvoie une page d'erreur incluant le payload non filtré, qui s'exécute dans le navigateur de toute personne consultant cette URL — y compris un administrateur connecté dans un autre onglet. Phase 2 : en combinant cette exécution JavaScript avec une attaque CSRF ou en attirant un administrateur vers la page de login piégée, l'attaquant peut déclencher un upload de plugin malveillant ou la modification d'un fichier PHP de thème, aboutissant à un shell distant complet avec les privilèges du processus PHP.

L'urgence est renforcée par la publication, dans le rapport technique de pwn.ai, d'un proof-of-concept détaillé démontrant la chaîne complète XSS → CSRF → upload plugin → RCE. Avec un PoC public disponible, le délai avant exploitation de masse à grande échelle par des acteurs automatisés (scanners, botnets) est historiquement inférieur à 72 heures après divulgation. Le CERT-FR a publié un avis de sécurité couvrant cette vulnérabilité le 7 août 2026, appelant à la mise à jour sans délai.

WordPress a réagi rapidement en publiant un correctif d'urgence avec la version 7.0.3 le 6 août 2026 — la veille de la divulgation publique, indiquant que pwn.ai avait respecté un processus de divulgation coordonnée avec l'équipe de sécurité WordPress. Les corrections portent sur wp-includes/user.php et wp-login.php, où les développeurs ont ajouté des appels explicites à esc_html(), esc_url() et esc_attr() pour encoder correctement toutes les sorties dans les messages d'erreur d'authentification.

Les sites ayant activé les mises à jour automatiques du core WordPress (option par défaut depuis la version 5.6) ont reçu le patch 7.0.3 automatiquement dans les heures suivant sa publication. En revanche, toutes les installations auto-hébergées avec mises à jour automatiques désactivées, les sites gérés manuellement par des agences, et les environnements d'hébergement mutualisé où la mise à jour dépend de l'initiative du client restent exposés jusqu'à intervention manuelle.

CVE-2026-64638 s'inscrit dans une classe de vulnérabilités récurrente dans les CMS populaires : la réflexion non encodée dans les pages d'authentification. Des problèmes similaires avaient été documentés sur Joomla (CVE-2024-21726, CVSS 9.6) et Drupal au cours des années précédentes. La particularité de WordPress est la taille de sa surface d'attaque globale : toute faille core du CMS devient ipso facto un événement d'urgence sectorielle.

Impact et exposition

Sont exposées toutes les installations WordPress tournant sur une version comprise entre 6.4 et 7.0.2 dont la page wp-login.php est accessible publiquement — ce qui est le comportement par défaut. Cela inclut les installations auto-hébergées (serveurs dédiés, VPS, hébergements mutualisés avec gestion manuelle), les sites opérés par des agences sur des centaines de clients avec des cycles de mise à jour variables, et les réseaux WordPress multisite. L'exploitation ne requiert aucune authentification et peut se déclencher depuis n'importe quelle connexion internet. Les hébergeurs WordPress managés (WP Engine, Kinsta, Infomaniak, OVH WP Hébergement) ont généralement appliqué le patch au niveau infrastructure, mais vérification recommandée.

Recommandations

• Action immédiate : mettre à jour WordPress vers la version 7.0.3 ou supérieure depuis le tableau de bord (Tableau de bord → Mises à jour)
• Activer les mises à jour automatiques du core : ajouter define('WP_AUTO_UPDATE_CORE', true); dans wp-config.php
• En attendant le patch : restreindre l'accès à wp-login.php par plage IP via .htaccess ou votre pare-feu applicatif (WAF)
• Auditer les logs serveur pour détecter des requêtes POST suspectes vers wp-login.php contenant des chevrons (<) dans le paramètre log
• Contacter son hébergeur ou son agence pour confirmer que le patch a été appliqué si vous n'avez pas accès direct au back-office