Qu'est-ce que wp2shell exactement ?

wp2shell désigne la combinaison de deux vulnérabilités du cœur WordPress : CVE-2026-63030 (confusion de route sur le point d'entrée batch de l'API REST) et CVE-2026-60137 (injection SQL via le paramètre author__not_in de WP_Query). Combinées sur les branches 6.9 et 7.0, elles permettent à un attaquant non authentifié d'exécuter du code à distance sur une installation WordPress par défaut. La branche 6.8.x n'est concernée que par l'injection SQL seule (CVE-2026-60137), sans la partie RCE.

wp2shell est-elle vraiment exploitée activement, ou est-ce de la précaution ?

Les deux CVE de la chaîne wp2shell figurent au catalogue CISA KEV (Known Exploited Vulnerabilities), la liste officielle du gouvernement américain des failles dont l'exploitation active a été constatée. Ce n'est donc pas une précaution théorique : ces failles sont effectivement utilisées par des attaquants.

Comment savoir si mon site a déjà été piraté via wp2shell ?

Recherchez dans votre arborescence des fichiers PHP récents que vous n'avez pas créés (souvent dans wp-content/uploads, normalement réservé aux médias), des comptes administrateur que vous ne reconnaissez pas, et consultez les journaux d'accès de votre hébergeur pour des requêtes suspectes vers l'API REST (/wp-json/). En cas de doute, faites appel à un professionnel pour une analyse forensique : un nettoyage mal fait laisse souvent une porte dérobée active.

Mettre à jour WordPress suffit-il à corriger un site déjà compromis ?

Non. La mise à jour ferme la porte d'entrée pour une future attaque, mais si votre site a déjà été compromis, l'attaquant a pu y déposer un accès persistant (compte admin caché, fichier shell, tâche planifiée malveillante) qui survit à la mise à jour. Une installation déjà compromise nécessite un nettoyage complet, pas seulement un correctif.

Les extensions et thèmes WordPress sont-ils aussi concernés par wp2shell ?

Non, wp2shell est une faille du cœur WordPress lui-même, indépendante des extensions installées. Cela dit, vos plugins et thèmes ont leurs propres vulnérabilités, généralement plus fréquentes que celles du cœur : un scan complet doit les vérifier séparément.

Mon site WordPress est-il piraté ? Comment vérifier (wp2shell)

Pour vérifier si votre site WordPress est vulnérable ou piraté, deux étapes : contrôlez la version exacte de votre cœur WordPress face à la chaîne « wp2shell » (corrigée en 6.8.6, 6.9.5 ou 7.0.2 selon votre branche), puis recherchez les signes concrets de compromission (comptes admin inconnus, fichiers PHP suspects, alertes de votre hébergeur). Les deux CVE de la chaîne wp2shell figurent au catalogue officiel CISA KEV des failles activement exploitées : ce n'est pas un risque théorique.

Qu'est-ce que wp2shell ?

wp2shell est le nom donné à la combinaison de deux vulnérabilités du cœur WordPress, révélées en juillet 2026 : CVE-2026-63030 , une confusion de route sur le point d'entrée batch de l'API REST (CVSS 9.8, critique), et CVE-2026-60137, une injection SQL via le paramètre author__not_in de WP_Query (CVSS 5.9, modérée seule). Combinées sur les branches 6.9 et 7.0, elles permettent à un attaquant non authentifié d'exécuter du code à distance sur une installation WordPress par défaut — d'où le nom. Sur la branche 6.8.x, seule l'injection SQL s'applique : la confusion de route qui permet la RCE ne touche pas cette branche.

Comment vérifier si mon site WordPress est vulnérable à wp2shell ?

Consultez votre version WordPress depuis le tableau de bord (menu « Mises à jour »), puis comparez-la à ce tableau :

Branche 6.8.x → corrigée en version 6.8.6 (injection SQL seule)
Branche 6.9.x → corrigée en version 6.9.5 (chaîne complète SQLi + RCE)
Branche 7.0.x → corrigée en version 7.0.2 (chaîne complète SQLi + RCE)

Si votre version est strictement inférieure à la version corrigée de votre branche, vous êtes probablement exposé. Cela reste un verdict probable basé sur le numéro de version affiché : seule une vérification directe (ou un correctif déjà rétroporté par votre hébergeur sans changement de numéro) peut trancher avec certitude.

Quels sont les signes qu'un site WordPress a été piraté ?

Au-delà de wp2shell, voici les signes les plus courants d'une compromission déjà en cours, quelle qu'en soit l'origine :

Comptes administrateur inconnus dans Utilisateurs → Tous les utilisateurs, que vous n'avez pas créés.
Fichiers PHP inattendus, notamment dans wp-content/uploads (normalement réservé aux médias) ou à la racine du site.
Redirections ou publicités inattendues lorsque des visiteurs arrivent depuis Google, alors que le site semble normal en navigation directe.
Alerte de votre hébergeur ou de Google Search Console signalant du contenu malveillant ou une mise en liste noire.
Ralentissement inexpliqué du site, souvent causé par l'envoi de spam en arrière-plan depuis votre serveur.

Aucun de ces signes, pris isolément, n'est une preuve formelle — mais leur présence combinée à une version WordPress non corrigée doit déclencher une vérification sérieuse, idéalement par un professionnel si vous n'êtes pas technique.

Comment fonctionne concrètement l'attaque wp2shell ?

Comprendre le mécanisme aide à juger la gravité réelle. La chaîne commence par la confusion de route de CVE-2026-63030 : le point d'entrée batch de l'API REST de WordPress (qui permet de grouper plusieurs appels API en une seule requête) ne vérifie pas correctement vers quelle route interne chaque sous-requête est redirigée. Un attaquant peut ainsi faire passer une requête vers un point d'API qu'il ne devrait normalement pas pouvoir atteindre sans authentification. Cette route détournée est alors utilisée pour exploiter CVE-2026-60137 : le paramètre author__not_in de WP_Query n'échappe pas correctement sa valeur avant de l'insérer dans la requête SQL, ce qui permet d'injecter du SQL arbitraire. Sur les branches 6.9 et 7.0, cette injection SQL peut être utilisée pour écrire un fichier exécutable sur le serveur — d'où le nom « wp2shell », littéralement « de WordPress à un shell ». Sur la branche 6.8.x, la route détournée n'existe pas : l'injection SQL reste possible mais ne peut pas, seule, aboutir à l'exécution de code.

Chronologie de la faille wp2shell

17 juillet 2026 : publication de CVE-2026-63030 et CVE-2026-60137 dans la base NVD.
21 juillet 2026 : les deux CVE sont ajoutées au catalogue CISA KEV, confirmant une exploitation active constatée sur le terrain, quatre jours seulement après la divulgation.
Depuis : la chaîne reste activement exploitée contre les installations WordPress non mises à jour ; elle fait partie des failles que ScanMonSite vérifie automatiquement sur chaque site scanné.

Que faire si mon site est vulnérable ou déjà piraté ?

Si le site n'est « que » vulnérable (pas encore compromis)

Sauvegardez votre site (fichiers + base de données).
Mettez à jour WordPress vers la version corrigée de votre branche (6.8.6, 6.9.5 ou 7.0.2).
Vérifiez l'absence de fichiers suspects après la mise à jour.

Si des signes de compromission sont présents

Ne vous contentez pas de mettre à jour : un attaquant qui a déjà obtenu un accès peut avoir déposé une porte dérobée qui survit au correctif. Isolez le site (mode maintenance), changez tous les mots de passe (admin WordPress, FTP, base de données, hébergement), et faites appel à un professionnel pour un nettoyage complet avant de remettre le site en ligne publiquement.

Comment réduire durablement le risque de piratage WordPress ?

wp2shell ne sera pas la dernière faille critique du cœur WordPress ou de ses extensions. Quelques réflexes limitent l'exposition sur la durée : activer les mises à jour automatiques du cœur WordPress (réglage disponible nativement depuis le tableau de bord), limiter le nombre de comptes administrateur au strict nécessaire et leur imposer une authentification à deux facteurs, désinstaller les extensions et thèmes inutilisés plutôt que de les laisser simplement désactivés (un plugin inactif reste souvent une porte d'entrée exploitable), et conserver des sauvegardes régulières stockées en dehors du serveur de production. Un audit de sécurité périodique — manuel ou automatisé — reste le seul moyen de détecter une nouvelle vulnérabilité avant qu'elle ne soit exploitée, plutôt qu'après.

Pour les détails techniques complets, consultez l'annonce officielle WordPress.org ou les fiches CVE-2026-63030 et CVE-2026-60137 sur NVD.

Mon site WordPress est-il piraté ? Comment vérifier