Autorité Nationale de Cybersécurité
21-07-2026
BULLETIN D'ALERTES
| Object | Vulnérabilité Critique dans WordPress |
|---|---|
| Réference | 1495 |
| Date de Publication | 2026-07-21 |
| Sévérité | Critique |
IMPACT :
Compromission complète du serveur web et de la base de données sous-jacente.
Exfiltration de données sensibles, y compris les identifiants administrateur.
DÉSCRIPTION :
Une vulnérabilité critique de type exécution de code à distance (RCE) pré-authentification, surnommée « wp2shell », affecte le noyau de WordPress.
La faille résulte du chaînage de deux vulnérabilités distinctes.
CVE-2026-63030 : confusion de route au niveau du point de terminaison de l'API REST « batch » (/wp-json/batch/v1), exploitable sans authentification ni configuration particulière.
CVE-2026-60137 : injection SQL dans le paramètre author__not_in de la classe WP_Query, permettant notamment la lecture de la base de données, y compris les empreintes de mots de passe administrateur.
Le chaînage de ces deux failles permet à un attaquant anonyme, sans identifiants ni interaction de l'utilisateur, de prendre le contrôle total d'une installation WordPress par défaut, sans qu'aucune extension tierce ne soit requise.
SOLUTION :
Mettre à jour immédiatement vers WordPress 7.0.2 ou 6.9.5 (correctif complet des deux CVE) ; pour la branche 6.8.x, appliquer la version 6.8.6.
DOCUMENTATION :
CVE-2026-63030
cve.org/CVERecord?id=CVE-2026-63030
CVE-2026-60137
cve.org/CVERecord?id=CVE-2026-60137
WordPress.org, « Version 7.0.2 », documentation WordPress, publié le 17 juillet 2026.
wordpress.org/documentation/wordpress-version/version-7-0-2/
Rapid7, « CVE-2026-63030: wp2shell a Critical Remote Code Execution Vulnerability in WordPress Core », Rapid7 Blog, 17 juillet 2026.
SecurityWeek, « WP2Shell WordPress Vulnerabilities Exploited in the Wild », 20 juillet 2026.
securityweek.com/wp2shell-wordpress-vulnerabilities-exploited-in-the-wild/
The Hacker News, « New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code », 18 juillet 2026.
thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw-lets.html