Sortie le 17 juillet, WordPress 7.0.2 n’est pas une mise à jour comme les autres. Elle corrige une faille de sécurité critique et une autre de gravité élevée, dont l’une pouvait mener à une exécution de code à distance.
Ce qui a été corrigé
Deux vulnérabilités sont concernées, toutes deux signalées de façon responsable à l’équipe de sécurité de WordPress :
- une injection SQL facilitée, rapportée par TF1T, dtro et haongo (CVE-2026-60137) ;
- une confusion de routes dans l’API REST par lots, combinée à une injection SQL, menant à une exécution de code à distance, rapportée par Adam Kues d’Assetnote / Searchlight Cyber (CVE-2026-63030).
C’est la seconde qui a mis l’écosystème en alerte. Une exécution de code à distance, c’est la possibilité pour un attaquant de faire tourner son propre code sur votre serveur. En clair, le pire scénario.
Êtes-vous concerné ?
- WordPress 6.9 est touché par les deux failles. Correctif dans la 6.9.5.
- WordPress 6.8 n’est touché que par la première. Correctif dans la 6.8.6.
- Les versions bêta de WordPress 7.1 sont touchées par les deux. Correctif dans la bêta 2.
- Les versions antérieures à WordPress 6.8 ne sont pas affectées.
Vu la sévérité, l’équipe de WordPress.org a activé les mises à jour automatiques forcées sur les versions concernées. Votre site est donc probablement déjà à jour sans que vous ayez rien fait.
Que faire concrètement
Ne partez pas du principe que la mise à jour automatique a fonctionné. Certains hébergeurs, certaines configurations et certaines extensions de sécurité bloquent ce mécanisme.
- Rendez-vous dans Tableau de bord > Mises à jour et vérifiez le numéro de version affiché.
- Si vous êtes en dessous de 7.0.2 (ou 6.9.5 / 6.8.6 selon votre branche), lancez la mise à jour manuellement, tout de suite.
- Si vous gérez plusieurs sites, c’est le moment de passer en revue votre parc plutôt que de les traiter un par un.
Notre avis
Matt Mullenweg a lui-même souligné sur son blog personnel le caractère exceptionnel de cette faille : une exécution de code à distance dans le cœur de WordPress, ça n’est arrivé que quelques fois en 23 ans d’existence du CMS.
Deux enseignements à en tirer. Le premier : la mise à jour automatique forcée a très bien joué son rôle de filet de sécurité, et c’est une bonne raison de ne pas la désactiver sur vos sites. Le second : ce filet ne couvre que le cœur de WordPress. Vos extensions et vos thèmes, eux, restent sous votre responsabilité.
Cette version a été pilotée par John Blackbourn et Barry Abrahamson, avec des contributions d’Altis, Automattic, Bluehost, Cloudflare, GoDaddy, Hostinger et, fait notable au vu du conflit en cours, WP Engine.