wp2shell : exécution de code non authentifiée dans le cœur de WordPress
Publié le
Le 17 juillet 2026, WordPress publie 6.9.5 et 7.0.2. Elles corrigent wp2shell, une chaîne qui combine CVE-2026-63030 (confusion de route sur l’API batch, CVSS 9.8) et CVE-2026-60137 (injection SQL, CVSS 5.9). Ensemble, elles donnent l’exécution de code à distance sans authentification sur une installation par défaut. Des preuves de concept publiques ont circulé dans les heures suivant la divulgation.
Corrigé : WordPress 6.9.5 et 7.0.2 (17 juillet 2026)
Comment deux failles forment-elles une seule chaîne ?
L’API `/wp-json/batch/v1` de WordPress permet de regrouper plusieurs appels REST dans une seule requête. CVE-2026-63030 vient de ce que les sous-requêtes en échec ne sont pas ajoutées au tableau `$matches`, ce qui décale les index. L’attaquant place d’abord une requête peu privilégiée volontairement défaillante, puis une requête privilégiée qui s’exécute sans contrôle d’autorisation.
CVE-2026-60137 vient du paramètre `author_exclude` de `WP_Query`, assaini uniquement lorsqu’il arrive sous forme de tableau d’entiers. La première faille permet précisément d’envoyer une chaîne de caractères à la place, et l’injection SQL passe.
Comment passe-t-on de l’injection au webshell ?
L’enchaînement observé est mécanique : injection SQL, élévation de privilèges, création d’un compte administrateur, connexion avec ce compte, envoi d’une extension malveillante, exécution de code.
Les attaquants déposent ensuite des webshells persistants. Une remise à jour ne les enlève pas : si votre site a été exposé entre le 17 et le 20 juillet 2026, le correctif ne suffit pas, il faut chercher.
Pourquoi cette faille touche-t-elle tout le monde ?
Ce n’est pas une extension tierce, c’est le cœur de WordPress, sur une installation par défaut. Toutes les versions 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1 sont concernées.
L’exploitation en environnement réel a été confirmée par plusieurs éditeurs de sécurité à partir du 18 juillet 2026, soit le lendemain de la divulgation. Le délai entre publication du correctif et industrialisation de l’attaque se compte désormais en heures.
Que faire dès aujourd’hui ?
Passez en 6.9.5 ou 7.0.2 sans attendre. Puis cherchez les traces : comptes administrateurs que vous ne reconnaissez pas, extensions que vous n’avez pas installées, fichiers PHP récents dans `wp-content/uploads` et `wp-content/plugins`.
L’API REST batch n’est utilisée par presque aucun site vitrine. La filtrer en amont ne coûte rien et supprime la première marche de la chaîne.
Qui est concerné ?
- WordPress 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1 : installation par défaut
- Corrigé dans WordPress 6.9.5 et 7.0.2, publiées le 17 juillet 2026
- CVE-2026-63030 : CVSS 9.8 · CVE-2026-60137 : CVSS 5.9
- Exploitation en environnement réel confirmée à partir du 18 juillet 2026
Comment AtriShield bloque-t-il la faille ?
Patch virtuel (Business et Enterprise) : la faille est neutralisée à l’entrée de votre serveur, sans modifier votre application et sans attendre la fenêtre de maintenance. Des métadonnées de sécurité remontent à votre console.
- ✓Patch virtuel sur `/wp-json/batch/v1` : les lots de requêtes conçus pour décaler l’index d’autorisation sont rejetés à l’entrée.
- ✓Les charges d’injection SQL visant `author_exclude` sont bloquées avant d’atteindre WordPress.
- ✓Le dépôt d’extension malveillante, dernière marche de la chaîne, est coupé même si une étape précédente passe.
- ✓Aucune modification du cœur WordPress : la protection tient pendant que vous planifiez et testez la montée de version.
Sources
- Rapid7 - CVE-2026-63030 (wp2shell), critical RCE in WordPress Core
- Wiz - Exploitation in the wild of wp2shell
- Tenable - wp2shell: WordPress Core pre-auth RCE FAQ
Analyse publiée par Atrilya Solutions à partir de publications de sécurité publiques. Les liens ci-dessus renvoient aux sources d’origine.