WordPress a publié en urgence la version 7.0.2 le 17 juillet 2026. Cette mise à jour de sécurité colmate wp2shell, une faille critique du cœur de WordPress qui permet à un pirate de prendre le contrôle total d’un site, sans même avoir besoin d’un identifiant. Si votre site tourne sous WordPress, voici ce qu’il faut savoir (et faire).
Ce qui s’est passé
Le 17 juillet, l’équipe de sécurité de WordPress a diffusé une version corrective. Elle répare deux vulnérabilités du cœur de WordPress, dont une classée « critique », le plus haut niveau de gravité.
La plus dangereuse a été baptisée wp2shell (référencée sous le code CVE-2026-63030). Elle a été découverte et signalée par Adam Kues, chercheur en sécurité chez Assetnote (groupe Searchlight Cyber). Sa note de gravité atteint 9,8 sur 10 selon WPScan : autant dire le rouge vif. WordPress a d’ailleurs déclenché des mises à jour forcées, un mécanisme réservé aux situations les plus graves, pour pousser automatiquement le correctif sur les sites concernés.
Une seconde faille (CVE-2026-60137), de type injection SQL, a également été corrigée au passage.
wp2shell, c’est quoi exactement ?
Pas besoin d’être développeur pour comprendre le problème. WordPress possède une « porte d’entrée » technique appelée l’API REST, qui permet à des applications de dialoguer avec votre site (par exemple pour y publier un article depuis une autre application). Parmi ces portes, une route dite « batch » sert à envoyer plusieurs requêtes d’un seul coup.
La faille wp2shell exploitait un bug dans cette route : en enchaînant des requêtes bien précises, un attaquant pouvait tromper WordPress et lui faire exécuter ses propres commandes sur le serveur. C’est ce qu’on appelle une exécution de code à distance (ou RCE en anglais) : l’équivalent de laisser un inconnu s’asseoir aux commandes de votre site.
Deux détails aggravaient la situation : cette porte est active par défaut sur toutes les installations, et l’attaque fonctionnait sans authentification, c’est-à-dire sans avoir à se connecter. Un pirate qui réussissait obtenait un accès complet : contenu, base de données, identifiants… tout y passait.
Êtes-vous concerné ?
Tout dépend de la version de WordPress installée sur votre site. Voici les versions vulnérables et leurs correctifs :
- WordPress 7.0 à 7.0.1 : vulnérable, à mettre à jour vers la 7.0.2.
- WordPress 6.9 à 6.9.4 : vulnérable, correctif en 6.9.5.
- WordPress 6.8 à 6.8.5 : concerné par la seconde faille (injection SQL), correctif en 6.8.6.
- WordPress 6.7 et versions antérieures : non concernés par wp2shell.
Bonne nouvelle : grâce aux mises à jour automatiques forcées, une grande partie des sites a déjà reçu le correctif. Mauvaise nouvelle : ces mises à jour ne réussissent pas partout (problèmes de droits, hébergement particulier, mises à jour automatiques désactivées…). Mieux vaut donc vérifier soi-même plutôt que de s’en remettre au hasard.
Que faire maintenant ?
- Vérifiez votre version. Dans votre administration, ouvrez Tableau de bord > Mises à jour : WordPress y affiche la version en cours et propose la 7.0.2 si nécessaire.
- Faites une sauvegarde avant toute manipulation, pour pouvoir revenir en arrière en cas de souci. Notre guide pour sauvegarder WordPress présente les meilleures solutions.
- Mettez à jour vers la 7.0.2 (ou 6.9.5 / 6.8.6 selon votre version) sans attendre. Si l’opération vous inquiète, suivez notre tutoriel pas à pas pour mettre à jour WordPress.
- Vérifiez que tout est normal. Un code d’exploitation ayant été rendu public quelques jours après la sortie, surveillez les signes d’intrusion : comptes administrateurs inconnus, extensions que vous n’avez pas installées, fichiers modifiés récemment.
Notre lecture
Une faille critique dans le cœur de WordPress (et non dans une extension tierce) reste un événement rare et sérieux. Il rappelle une règle simple : maintenir son site à jour n’est pas une corvée optionnelle, c’est la première ligne de défense. Le recours aux mises à jour forcées montre que le projet a pris la menace au sérieux et réagi vite.
Pour la plupart des utilisateurs, l’histoire s’arrête là : le correctif est appliqué, le danger est écarté. Le vrai enseignement tient en deux réflexes : garder les mises à jour automatiques activées et disposer d’une sauvegarde récente. Ce sont eux qui transforment une alerte « critique » en simple ligne dans l’actualité, plutôt qu’en week-end de panique.