wp2shell : chaîne d'exécution de code à distance critique dans WordPress

Depuis juillet 2026, une suite de vulnérabilités majeures affectant le cœur du système WordPress, connue sous le nom de wp2shell, est activement exploitée. Cette faille permet à un attaquant non authentifié de prendre le contrôle total d'un site web, sans nécessiter l'installation d'extensions tierces ni l'interaction d'un utilisateur.

Nature technique de la menace

Contrairement à la majorité des cyberattaques ciblant WordPress, qui exploitent généralement des plugins ou des thèmes mal sécurisés, wp2shell cible directement le noyau du logiciel.

Il ne s'agit pas d'une faille unique, mais d'une chaîne d'exploitation combinant deux vulnérabilités distinctes :

  1. CVE-2026-63030 (Confusion de route) : Cette faille réside dans le processeur de traitement par lots (batch processor) de l'API REST de WordPress (/wp-json/batch/v1). Un défaut de logique lors de la validation des requêtes permet à un attaquant d'envoyer des commandes vers des gestionnaires (handlers) qui n'auraient jamais dû être accessibles sans authentification.
  2. CVE-2026-60137 (Injection SQL) : Une fois la protection franchie via la première faille, l'attaquant peut exploiter une injection SQL dans la fonction WP_Query (spécifiquement via le paramètre author__not_in).

Le chemin vers la compromission totale

L'exploitation de wp2shell suit un processus méthodique et automatisé, souvent orchestré par des scripts publics :

  • Phase 1 : Extraction de données : Grâce à l'injection SQL « aveugle » (blind SQLi), l'attaquant extrait des informations sensibles de la base de données, notamment les identifiants et les empreintes (hashes) des mots de passe de la table wp_users.
  • Phase 2 : Escalade de privilèges : En utilisant les données extraites, l'attaquant peut soit casser le mot de passe, soit utiliser la chaîne de vulnérabilités pour créer directement un nouveau compte administrateur sur le site.
  • Phase 3 : Exécution de code (RCE) : Une fois les droits d'administrateur obtenus, l'attaquant accède au panneau de gestion et télécharge un plugin malveillant ou un fichier ZIP contenant un script PHP.
  • Phase 4 : Persistance via Webshell : Ce script installe une webshell, une interface de commande cachée sur le serveur. L'attaquant peut désormais exécuter n'importe quelle commande système sur le serveur hébergeant le site, indépendamment de l'interface WordPress.

Risques pour les administrateurs de sites

L'industrialisation de cette attaque, via des outils de scan massif, rend tout site non mis à jour vulnérable, quel que soit son trafic ou sa notoriété. Les conséquences sont immédiates :

  • Contrôle total du serveur : Accès aux fichiers de configuration, aux bases de données et aux emails.
  • Utilisation comme relais : Le serveur compromis peut servir de plateforme pour lancer d'autres attaques ou héberger des pages de phishing.
  • Corruption des données : Modification ou suppression complète du contenu du site.

Mesures de remédiation et protection

La correction repose principalement sur la mise à jour du noyau WordPress, car la faille ne dépend d'aucun module externe.

Actions correctives immédiates :

  • Mise à jour du Core : Passer sans délai vers les versions 6.9.5, 7.0.2 ou supérieures.
  • Analyse d'intégrité : Vérifier l'apparition de nouveaux administrateurs non identifiés et scanner le répertoire /wp-content/plugins/ pour détecter des dossiers suspects.