Des hackers exploitent activement deux failles de sécurité critiques dans WordPress, le logiciel qui alimente plus de 40 % des sites web dans le monde. Selon plusieurs sociétés de cybersécurité, des dizaines de millions de sites restent vulnérables face à ces attaques malgré la publication de correctifs d’urgence.
WordPress a publié le 17 juillet une mise à jour de sécurité urgente, la version 7.0.2, corrigeant deux vulnérabilités classées l’une critique et l’autre de gravité élevée. La première faille, une injection SQL facilitée, a été signalée par les équipes TF1T, dtro et haongo. Elle permet à un attaquant d’accéder à la base de données du site. La seconde, plus dangereuse, permet une exécution de code à distance via une confusion de routes dans l’API REST. Découverte par Adam Kues, consultant chez Searchlight Cyber, elle a été baptisée WP2Shell et ouvre la porte à une prise de contrôle totale des sites concernés. Les identifiants CVE-2026-60137 et CVE-2026-63030 ont été attribués à ces deux vulnérabilités par les autorités de sécurité informatique.
Des correctifs d’urgence et des mises à jour forcées
Face à la gravité des failles, WordPress a immédiatement activé des mises à jour automatiques forcées pour tous les sites utilisant les versions vulnérables du logiciel. Celles-ci incluent les versions 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1. La version 6.8 n’est concernée que par la première faille, et un correctif a également été publié pour elle sous le numéro 6.8.6, tandis que la version 7.1 beta a aussi reçu un correctif. Les versions antérieures à WordPress 6.8 ne sont pas affectées. Selon les statistiques officielles de WordPress, plus de 400 millions de sites fonctionnent avec des versions concernées, même si ce chiffre inclut probablement des sites ayant déjà appliqué la mise à jour depuis la publication des correctifs.
Quatre-vingt-dix millions de sites encore à risque
Le consultant en cybersécurité Daniel Card a analysé un échantillon d’environ 3 500 sites WordPress et estimé que moins de 15 % d’entre eux restent vulnérables malgré les correctifs disponibles. En projection sur l’ensemble des sites WordPress dans le monde, cela représenterait environ 90 millions de cibles potentielles pour les attaquants. Les entreprises de cybersécurité Patchstack, Hexastrike et WatchTowr ont confirmé que les deux failles sont exploitées activement dans la nature depuis la publication des correctifs.
Un risque de prise de contrôle totale
Un site compromis via WP2Shell peut être entièrement contrôlé à distance, permettant le vol de données, l’installation de malwares ou le détournement du trafic vers des sites frauduleux. Les administrateurs de sites WordPress sont invités à vérifier sans attendre que leur installation est à jour. WordPress propose une procédure simple via le tableau de bord : se rendre dans la section « Mises à jour » et cliquer sur « Mettre à jour maintenant ». Pour les sites ne supportant pas les mises à jour automatiques, le logiciel est disponible en téléchargement sur le site officiel wordpress.org. Une vérification rapide peut éviter une compromission aux conséquences coûteuses pour un site ou une entreprise.
Cloudflare et Automattic mobilisés
Megan Fox, porte-parole d’Automattic, la société qui gère WordPress.com et contribue au développement du projet open source, a indiqué que tous les sites hébergés par le groupe, y compris ceux sur WordPress.com, Pressable et WPVIP, ont été protégés avant même la publication publique des correctifs. Cloudflare a également contribué à bloquer une partie des attaques contre les sites utilisant son service de protection. La mise à jour 7.0.2 a été préparée sous la direction de John Blackbourn et Barry Abrahamson, avec la contribution de vingt développeurs issus d’Automattic, Bluehost, GoDaddy, Hostinger, WP Engine et Cloudflare. WordPress recommande à l’ensemble des utilisateurs de mettre à jour leur installation sans délai.
