Vulnérabilité critique WordPress RCE : wp2shell (CVE-2026-63030, CVE-2026-60137)

Synthèse

WordPress propulse plus de 40 % de tous les sites web dans le monde, ce qui en fait le système de gestion de contenu le plus déployé. Des blogs personnels aux sites d’entreprises du Fortune 500, en passant par les portails gouvernementaux et les plateformes e-commerce, WordPress constitue une part massive de l’infrastructure du web. Lorsqu’une vulnérabilité critique touche WordPress Core, le rayon d’impact est sans équivalent dans l’écosystème des CMS.

Deux vulnérabilités critiques référencées CVE-2026-63030 et CVE-2026-60137, connues sous le nom de wp2shell, permettent une exécution de code à distance (RCE) sans authentification dans WordPress Core. Découvertes par Adam Kues de Searchlight Cyber, ces failles ne nécessitent aucun prérequis et peuvent être exploitées par un utilisateur anonyme sur une installation WordPress par défaut. Avec plus de 500 millions de sites WordPress actifs, cette vulnérabilité représente l’une des plus grandes surfaces d’attaque pour un seul CVE de l’histoire récente.

Versions concernées

Branche Versions vulnérables Version corrigée 7.x 7.0.0, 7.0.1 7.0.2 6.x 6.9.0 à 6.9.4 6.9.5

Les versions antérieures à 6.9.0 ne sont pas affectées.

Détails techniques

La vulnérabilité exploite le point de terminaison batch de l’API REST WordPress (/wp-json/batch/v1). Ce point de terminaison, accessible par défaut aux utilisateurs non authentifiés, peut être détourné pour obtenir une exécution de code arbitraire sur le serveur sous-jacent.

Caractéristiques clés de cette vulnérabilité :

• Vecteur d’attaque : Réseau (sans authentification, aucune interaction utilisateur requise)

• Complexité : Faible

• Impact : Compromission totale du serveur, exécution de code arbitraire

• Prérequis : Aucun. Fonctionne sur les installations WordPress par défaut

Remédiation immédiate

Correctif principal : Mettre à jour WordPress

Effectuez la mise à jour vers l’une des versions corrigées sans délai :

• WordPress 7.0.2 (pour les installations 7.x)

• WordPress 6.9.5 (pour les installations 6.x)

Mesures d’atténuation temporaires

Si la mise à jour ne peut pas être appliquée immédiatement, mettez en place une ou plusieurs des mesures suivantes :

1. Bloquer le point de terminaison vulnérable au niveau du WAF

Configurez votre pare-feu applicatif ou proxy inverse pour bloquer les requêtes correspondant à :

• Chemin : /wp-json/batch/v1

• Paramètre de requête : rest_route=/batch/v1

2. Désactiver l’accès non authentifié à l’API REST

Installez le plugin « Disable WP REST API » pour restreindre l’accès à l’API REST aux seuls utilisateurs authentifiés.

3. Déployer un filtre d’authentification personnalisé

Ajoutez un plugin léger exigeant l’authentification pour les requêtes batch de l’API. La page de l’avis wp2shell fournit une implémentation de référence.

Détection et réponse

Au-delà de l’application du correctif, les organisations doivent :

• Examiner les journaux du serveur web à la recherche de requêtes inhabituelles vers /wp-json/batch/v1, notamment depuis des sources inattendues

• Rechercher des indicateurs de compromission : comptes administrateurs inconnus, fichiers core modifiés, plugins non reconnus ou web shells

• Renouveler les identifiants de tous les comptes administrateurs WordPress et utilisateurs de base de données en cas de suspicion de compromission

Recommandations / Checklist

Les organisations utilisant CYBERDEFENSE.AI sont protégées par défaut contre les attaques RCE non authentifiées grâce à nos capacités intégrées de détection et de prévention des menaces. Cependant, nous recommandons fortement de mettre à jour WordPress vers la version corrigée afin d’éliminer entièrement la vulnérabilité sous-jacente.

Voici la checklist pour éviter les problèmes :

1. Corrigez maintenant. C’est la priorité absolue. L’absence d’exigence d’authentification rend cette vulnérabilité exploitable à grande échelle de manière triviale.

2. Auditez votre inventaire WordPress. De nombreuses organisations disposent d’instances WordPress dont elles ont perdu la trace. Utilisez la découverte d’actifs pour identifier tous les déploiements.

3. Appliquez la défense en profondeur. Les règles WAF bloquant le point de terminaison batch constituent une couche supplémentaire, même après l’application du correctif.

4. Surveillez l’exploitation active. L’exploitation automatisée est probable étant donné la faible barrière à l’entrée. Une surveillance proactive est essentielle.

Références

• CVE-2026-63030

• CVE-2026-60137