C'est une vulnérabilité critique : si elle n'est pas corrigée, elle peut permettre une prise de contrôle du site ou une exécution de code à distance.
Cette faille affecte WordPress (cœur), le cœur de WordPress, dans les versions Branche 6.8.x (aucun correctif rétroporté) · branche 6.9.x (< 6.9.5) · branche 7.0.x (< 7.0.2). Le correctif est disponible en version 6.9.5 (branche 6.9) ou 7.0.2 (branche 7.0).
Description technique (source WordPress.org) : « Injection SQL affectant le cœur WordPress sur les branches 6.8, 6.9 et 7.0. Seule, elle permet une lecture non autorisée de la base de données ; combinée à CVE-2026-60137 sur les branches 6.9 et 7.0, elle forme la chaîne d'exécution de code à distance surnommée « wp2shell ». Sur la branche 6.8.x, aucun correctif n'a été rétroporté : la seule remédiation est de monter de branche. »
Comment savoir si je suis touché ?
La seule manière fiable de savoir si votre site est concerné est de vérifier la version de WordPress (cœur) réellement installée. ScanMonSite automatise ce contrôle à distance, en lecture seule, gratuitement.