WP2Shell : La faille critique WordPress qui permet une prise de contrôle totale sans plugin

Imaginez un instant que votre site WordPress, l’un des CMS les plus utilisés au monde, puisse être piraté en quelques requêtes HTTP, sans même nécessiter un compte administrateur ou un plugin vulnérable. C’est exactement ce que permet WP2Shell, une faille critique combinant deux vulnérabilités du cœur de WordPress pour exécuter du code à distance. Découverte par le chercheur Adam Kues d’Assetnote, cette attaque redéfinit les standards du risque cyber pour les administrateurs de sites web. Et bonne nouvelle : un correctif est déjà disponible.

Depuis le 17 juillet 2026, WordPress a déployé des mises à jour de sécurité (versions 6.9.5 et 7.0.2) pour colmater cette brèche majeure. Pourtant, des milliers de sites restent exposés, faute de mises à jour automatiques ou d’une vigilance suffisante. Voici tout ce qu’il faut savoir sur WP2Shell, ses mécanismes, ses risques, et surtout, comment s’en protéger.

Une attaque sans précédent : deux failles, un seul objectif

WP2Shell n’est pas une vulnérabilité classique. Elle repose sur l’enchaînement de deux failles distinctes du cœur de WordPress, chacune étant dangereuse en soi, mais redoutable lorsqu’elles sont combinées. La première, référencée CVE-2026-63030, est une confusion de route dans l’API REST batch. Concrètement, elle permet à un attaquant d’exploiter l’endpoint /wp-json/batch/v1 pour contourner les restrictions d’accès et exécuter des actions non autorisées. La seconde, CVE-2026-60137, est une injection SQL insidieuse dans le paramètre author__not_in de la classe WP_Query. Cette faille permet d’injecter du code malveillant dans les requêtes SQL, ouvrant la porte à une exécution de code arbitraire.

L’originalité de WP2Shell réside dans sa simplicité : pas besoin de compte administrateur, pas besoin de plugin tiers, et encore moins de compétences avancées en hacking. Quelques requêtes HTTP bien construites suffisent à compromettre un site entier. Une fois l’accès obtenu, l’attaquant peut prendre le contrôle total du serveur, voler des données sensibles, ou même utiliser le site comme plateforme de rebond pour d’autres attaques.

Qui est concerné ? Une large partie des sites WordPress

WP2Shell cible les versions de WordPress comprises entre 6.9.0 et 6.9.4, ainsi que les versions 7.0.0 à 7.0.1. Si votre site tourne sous l’une de ces versions, vous êtes potentiellement exposé. Heureusement, WordPress.org a réagi rapidement en publiant des correctifs via les versions 6.9.5 et 7.0.2. Les sites configurés pour recevoir les mises à jour automatiques ont déjà été protégés, mais ceux qui désactivent ces mises à jour ou utilisent des versions personnalisées restent vulnérables.

Pour les utilisateurs de versions antérieures à 6.9.0 (par exemple, la branche 6.8.x), seule la faille d’injection SQL (CVE-2026-60137) les concerne. Heureusement, cette vulnérabilité a été corrigée dès la version 6.8.6, donc si vous êtes à jour, vous êtes à l’abri.

Comment fonctionne l’exploitation de WP2Shell ?

L’exploitation de WP2Shell repose sur une séquence précise de requêtes. Tout commence par l’exploitation de la faille de confusion de route dans l’API REST batch. L’attaquant envoie une requête POST vers /wp-json/batch/v1 avec des paramètres malveillants, ce qui lui permet de contourner les restrictions d’accès et d’exécuter des actions administratives. Ensuite, il exploite l’injection SQL via le paramètre author__not_in pour injecter du code dans les requêtes SQL exécutées par WordPress. Ce code peut inclure des commandes PHP ou des appels système, permettant ainsi l’exécution de code à distance.

Une fois le code exécuté, l’attaquant peut installer des backdoors, modifier des fichiers système, ou même prendre le contrôle du serveur. Le pire ? Tout cela se fait sans laisser de trace évidente dans les logs, ce qui rend la détection particulièrement difficile. Seuls les administrateurs les plus vigilants, utilisant des outils de monitoring avancés, pourraient repérer une activité suspecte.

Un correctif disponible, mais des milliers de sites toujours exposés

WordPress.org a réagi avec une célérité remarquable en publiant des correctifs dès le 17 juillet 2026. Les versions 6.9.5 et 7.0.2 intègrent les patchs nécessaires pour bloquer WP2Shell. De plus, WordPress a déclenché des mises à jour automatiques forcées sur les sites concernés, une mesure exceptionnelle qui montre l’urgence de la situation. Pourtant, malgré ces efforts, des milliers de sites restent vulnérables, soit parce qu’ils ne sont pas configurés pour recevoir les mises à jour automatiques, soit parce qu’ils utilisent des versions personnalisées ou des forks de WordPress.

Pour vérifier si votre site est exposé, consultez votre tableau de bord WordPress. Si vous voyez une notification indiquant que la version 6.9.5 ou 7.0.2 est disponible, mettez immédiatement à jour. Si vous utilisez une version antérieure, comme 6.9.4 ou 7.0.1, vous devez procéder à la mise à jour manuellement. Enfin, si vous gérez un hébergement mutualisé, contactez votre hébergeur pour vous assurer que les mises à jour sont bien appliquées.

Comment se protéger en attendant le correctif ?

Si vous ne pouvez pas mettre à jour immédiatement votre site WordPress, il existe des mesures temporaires pour limiter les risques. La première consiste à bloquer l’accès anonyme à l’endpoint batch de l’API REST. Vous pouvez le faire via un WAF (Web Application Firewall) comme Cloudflare, Sucuri ou ModSecurity, ou en utilisant un plugin de sécurité comme Wordfence ou iThemes Security. Ces outils permettent de bloquer les requêtes non autorisées vers /wp-json/batch/v1 et ?rest_route=/batch/v1.

Une autre mesure consiste à désactiver l’API REST batch si vous n’en avez pas besoin. Cela peut être fait via un plugin comme Disable REST API ou en ajoutant un snippet de code dans le fichier functions.php de votre thème enfant. Enfin, assurez-vous que votre site est configuré pour recevoir les mises à jour automatiques de WordPress et des plugins. Cela peut sembler évident, mais de nombreux sites sont compromis parce que leurs administrateurs ont désactivé les mises à jour par peur de casser quelque chose.

Conclusion : une leçon d’humilité pour la communauté WordPress

WP2Shell est un rappel brutal que même les logiciels les plus populaires et les plus utilisés ne sont pas à l’abri des failles critiques. Cette attaque, qui combine deux vulnérabilités du cœur de WordPress, montre que les attaquants sont de plus en plus créatifs et sophistiqués. Pour les administrateurs de sites, cela signifie qu’il est plus important que jamais de rester vigilant, de mettre à jour régulièrement leurs installations, et d’utiliser des outils de sécurité adaptés.

Heureusement, WordPress.org a réagi avec une réactivité exemplaire, en publiant des correctifs et en forçant les mises à jour automatiques. Mais la balle est maintenant dans le camp des administrateurs. Si vous gérez un site WordPress, prenez le temps de vérifier votre version et de procéder à la mise à jour si nécessaire. Et surtout, ne sous-estimez jamais l’importance de la sécurité : une faille comme WP2Shell peut avoir des conséquences désastreuses, bien au-delà de la simple compromission d’un site web.

En résumé : mettez à jour votre WordPress, bloquez l’accès à l’API REST batch si nécessaire, et surveillez les annonces de sécurité. Votre site, et vos visiteurs, vous en remercieront.

---

Source : https://korben.info/wp2shell-exploits-prise-controle-wordpress.html