WordPress : wp2shell compromet 500 millions de sites, patch urgent

Comment deux failles Core s'assemblent en compromission totale sans identifiant

Le 17 juillet 2026, Adam Kues, chercheur en sécurité chez Searchlight Cyber, a divulgué une chaîne d'exploitation baptisée wp2shell affectant le cœur de WordPress. La chaîne combine deux vulnérabilités distinctes qui, prises séparément, seraient déjà préoccupantes, mais ensemble atteignent le niveau le plus critique : une exécution de code à distance sans aucune authentification préalable, sur une installation WordPress entièrement standard, sans plugin ni configuration particulière. Sur les 500 millions de sites propulsés par WordPress dans le monde, la grande majorité des versions 6.9.x et 7.0.x sont directement exposées.

Le premier maillon de la chaîne est CVE-2026-63030, une faille logique dans le processeur de requêtes batch de l'API REST WordPress. Le batch processor effectue la validation des sous-requêtes et leur exécution dans deux boucles séparées. Quand la fonction wp_parse_url() échoue sur le chemin d'une sous-requête, l'erreur est poussée dans le tableau de validation mais pas dans le tableau des correspondances. Cette désynchronisation fait en sorte que chaque requête suivante dans le lot est dispatchée vers le mauvais gestionnaire de route. Un attaquant peut exploiter ce comportement pour forcer l'exécution de requêtes sous un contexte de permissions plus élevé que celui autorisé. L'analyse technique de Rapid7, publiée sous le code ETR-CVE-2026-63030, décrit en détail cette logique de contournement.

Le second maillon, CVE-2026-60137, est une injection SQL de haute sévérité dans le paramètre author__not_in de la classe WP_Query. Cette classe est au cœur du système de requêtes de WordPress et est appelée dans de nombreux contextes, y compris des endpoints API accessibles sans authentification. Combinée à CVE-2026-63030, l'injection SQL permet d'écrire des données arbitraires dans la base MySQL, ce qui ouvre la voie à l'exécution de code PHP via les mécanismes de désérialisation de WordPress. La chaîne complète peut être déclenchée par une seule requête HTTP malformée vers l'endpoint REST batch d'une installation WordPress non patchée.

L'absence de préconditions est ce qui rend wp2shell particulièrement redoutable. Pas de compte utilisateur requis, pas de plugin installé, pas de configuration spéciale. N'importe quel attaquant disposant d'un accès réseau au site peut déclencher la séquence. Tenable, Picus Security et VulnCheck ont tous confirmé la reproductibilité de la chaîne sur des installations WordPress vanilla avec les paramètres par défaut, sans modification de la configuration initiale. Le score CVSS de CVE-2026-63030 est évalué à 10.0 par certaines sources, reflétant l'absence totale de barrière à l'exploitation.

WordPress propulse selon les estimations entre 40 % et 43 % des sites web mondiaux. Les versions vulnérables représentent des dizaines de millions d'installations actives. Searchlight Cyber estimait à la date de divulgation que plus de 500 millions de sites étaient potentiellement exposés à au moins le composant injection SQL, et que la majorité était exposée à la chaîne RCE complète. La branche 6.8 est uniquement affectée par CVE-2026-60137 (injection SQL) mais pas par la chaîne RCE complète, ce qui en fait une cible moins critique mais nécessitant quand même une mise à jour.

L'écosystème de sécurité a réagi avec une rapidité remarquable — et alarmante. Dans les heures suivant la divulgation du 17 juillet, plusieurs preuves de concept publiques ont circulé sur des forums spécialisés. CISA a ajouté les deux CVE à son catalogue Known Exploited Vulnerabilities le 21 juillet 2026, confirmant officiellement une exploitation active dans la nature. Des firmes comme Coalition Inc., Wiz et VulnCheck ont publié des rapports documentant des campagnes de mass scanning et des tentatives d'installation de webshells sur des sites non patchés, avec des volumes d'exploitation en forte augmentation à partir du 19 juillet.

WordPress.org a réagi en publiant des patches d'urgence : la version 7.0.2 corrige les deux CVE dans la branche principale, la 6.9.5 apporte les correctifs à la branche 6.9, et la 6.8.6 propose un correctif pour CVE-2026-60137. Fait notable, WordPress.org a activé les mises à jour automatiques forcées pour les sites encore connectés à son infrastructure, une mesure réservée aux situations critiques rarissimes dans l'historique du projet. Plusieurs hébergeurs majeurs — dont WP Engine, Kinsta et SiteGround — ont simultanément déployé des règles WAF d'urgence pour bloquer les tentatives d'exploitation en cours.

Les équipes de réponse aux incidents conseillent aux administrateurs de sites WordPress de ne pas se contenter de la mise à jour. Si le site n'était pas patché au moment des premières vagues d'exploitation (à partir du 18-19 juillet), il est impératif de vérifier l'intégrité des fichiers WordPress Core, d'auditer les tables de la base de données pour détecter des entrées suspectes, et de passer en revue les logs d'accès à l'API REST pour identifier des requêtes batch anormales. Une webshell déposée avant le patch reste présente après la mise à jour et donne un accès persistant à l'attaquant. Tenable a publié une FAQ CISO spécifique à wp2shell avec une liste de contrôle détaillée pour l'investigation post-exploitation.

Sur le plan de la conformité, les entreprises soumises au RGPD, à NIS2 ou à PCI-DSS doivent traiter wp2shell comme un incident potentiel si leurs logs montrent des accès suspects à l'API REST WordPress depuis le 17 juillet. L'exploitation réussie de cette chaîne constitue une violation de données potentielle au sens du RGPD, avec les obligations de notification à l'autorité de contrôle dans les 72 heures qui en découlent. Les équipes juridiques et de conformité doivent être impliquées dans l'analyse de l'exposition et des obligations déclaratives.

Un révélateur des risques liés à la dette technique WordPress

wp2shell s'inscrit dans une longue série de vulnérabilités critiques affectant WordPress Core, mais se distingue par plusieurs caractéristiques qui en font l'une des plus dangereuses de la dernière décennie. La combinaison d'une faille logique architecturale dans la gestion des boucles de traitement de l'API REST et d'une injection SQL dans un composant aussi central que WP_Query révèle des lacunes dans les processus de revue de code sécurisée du projet. Pour rappel, WordPress est maintenu par une communauté de bénévoles avec un processus de contribution ouvert, ce qui génère structurellement des défis de sécurité différents d'un projet commercial soumis à des audits réguliers obligatoires.

Le délai entre la divulgation et l'apparition des premiers PoC publics illustre l'accélération de l'économie des exploits. En 2026, les chercheurs offensifs et les acteurs malveillants disposent d'outils d'analyse automatisée, de modèles d'IA spécialisés en reverse engineering et de frameworks de fuzzing capables de produire des PoC fonctionnels en un temps record. Pour les défenseurs, cela réduit drastiquement la fenêtre de temps entre la publication d'un patch et les premières tentatives d'exploitation. Dans ce cas précis, les équipes de sécurité avaient moins de 24 heures pour patcher avant les premières vagues d'exploitation automatisée à grande échelle.

L'impact de wp2shell va au-delà des sites WordPress individuels. De nombreuses entreprises utilisent WordPress comme CMS headless ou comme frontend d'applications métier, avec des connexions backend vers des bases de données, des ERP ou des systèmes de paiement. Une compromission via wp2shell peut donc servir de point d'entrée pour des attaques de pivot beaucoup plus profondes dans l'infrastructure d'une organisation. Les secteurs de l'e-commerce, des médias, des administrations publiques et de l'éducation — tous grands utilisateurs de WordPress — sont particulièrement exposés à cet angle d'attaque.

La vélocité de la réponse communautaire (patch d'urgence, mises à jour forcées, règles WAF déployées en heures) illustre également la maturité croissante de l'écosystème WordPress en matière de gestion des incidents de sécurité. Mais cette vitesse de réaction ne doit pas masquer un problème structurel : des dizaines de millions de sites WordPress dans le monde ne disposent pas de gestion active des mises à jour et restent exposés longtemps après la publication des correctifs. Pour ces sites, la fenêtre d'exposition peut se mesurer en semaines ou en mois, pas en heures.

Ce qu'il faut retenir

• Patcher immédiatement vers WordPress 7.0.2, 6.9.5 ou 6.8.6 — les deux CVE sont activement exploités et figurent au KEV CISA depuis le 21 juillet 2026.
• Auditer les logs d'accès à l'API REST WordPress depuis le 17 juillet pour détecter toute exploitation passée (requêtes batch anormales vers /wp/v2/batch).
• Vérifier l'intégrité des fichiers WordPress Core et des tables de la base de données ; si une webshell a été déposée avant le patch, la mise à jour seule ne suffit pas à expulser l'attaquant.