Failles wp2shell dans WordPress exploitées : vérifiez la version 7.0.2, 6.9.5 ou 6.8.6

Le 17 juillet 2026, l'équipe de sécurité de WordPress a publié les versions 7.0.2, 6.9.5 et 6.8.6 pour corriger deux failles dans WordPress lui-même, surnommées « wp2shell » (CVE-2026-60137 et CVE-2026-63030). Combinées, elles permettent à un attaquant sans compte de créer un administrateur et d'exécuter du code sur le serveur. Aucune extension ni aucun thème vulnérable n'est nécessaire : un site WordPress standard accessible sur Internet suffit.

Wordfence a observé les premières tentatives d'exploitation le soir même, et du code d'attaque public a circulé dans les jours suivants. Le 21 juillet 2026, la CISA, l'agence américaine de cybersécurité, a ajouté les deux failles à sa liste des vulnérabilités activement exploitées, comme l'a aussi signalé le Centre canadien pour la cybersécurité.

WordPress.org a activé des mises à jour automatiques forcées pour les sites concernés. Si votre site a été mis à jour depuis, vous êtes très probablement déjà protégé, mais vérifiez la version.

Qui est concerné

• WordPress 6.9 et 7.0 avant 6.9.5 et 7.0.2 : exposés à l'attaque complète.
• WordPress 6.8 avant 6.8.6 : exposé seulement à la faille de base de données, mais à mettre à jour quand même.
• Les versions antérieures à 6.8 ne sont pas concernées, selon WordPress.org.

Comment vérifier votre site

1. Connectez-vous au tableau de bord WordPress et ouvrez Tableau de bord > Mises à jour. La page indique votre version.
2. Comparez-la aux versions corrigées : 7.0.2, 6.9.5 ou 6.8.6 (ou toute version plus récente).
3. Ouvrez Utilisateurs et cherchez des comptes administrateurs que vous ne reconnaissez pas.
4. Ouvrez Extensions et cherchez des extensions que vous n'avez pas installées.

Si vous n'avez pas accès au tableau de bord, demandez à votre hébergeur ou à votre développeur quelle version de WordPress tourne sur le site.

Quoi faire maintenant

1. Si votre version est plus ancienne que les versions corrigées, cliquez sur Mettre à jour maintenant, ou demandez à votre hébergeur ou à votre développeur de le faire aujourd'hui.
2. Vérifiez que la mise à jour s'est bien terminée. Une mise à jour automatique peut échouer sans avertissement.
3. Si vous trouvez un administrateur ou une extension inconnus, considérez le site comme compromis : faites-le nettoyer par votre hébergeur ou un professionnel de la sécurité, puis changez tous les mots de passe.
4. Laissez les mises à jour automatiques du cœur de WordPress activées.

Cette alerte reprend ce que les sources ci-dessous ont publié et ne constitue pas une garantie pour un site en particulier.