Depuis le 17 juillet 2026, une faille critique touche le cœur de WordPress. Baptisée wp2shell (CVE-2026-63030, associée à CVE-2026-60137), elle est exploitée activement et figure au catalogue KEV de la CISA.

Comment fonctionne wp2shell ?

Une confusion de routes dans l’API REST (endpoint /wp-json/batch/v1) permet à un visiteur anonyme d’injecter un paramètre dans une requête WP_Query. Cela ouvre la porte à une injection SQL, puis à une exécution de code à distance. Aucun plugin vulnérable ni compte n’est nécessaire : une installation WordPress par défaut suffit.

Les attaques observées : création de faux comptes administrateur, installation de plugins malveillants, webshells et tentatives de vol des secrets de wp-config.php.

Versions concernées

Chaîne complète (exécution de code) : WordPress 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1
Injection SQL seule : WordPress 6.8.x avant 6.8.6

La vraie solution : mettre à jour

Passez à WordPress 6.9.5, 7.0.2 ou 6.8.6 (branche 6.8). Vérifiez que la mise à jour s’est bien appliquée : les sites dont les mises à jour automatiques sont désactivées peuvent rester vulnérables.

Mitigation d’urgence : un mu-plugin

Si vous ne pouvez pas mettre à jour immédiatement, nous avons préparé un petit mu-plugin qui retire l’endpoint /batch/v1 pour tous les visiteurs non connectés et refuse la requête à l’exécution (routes /wp-json/ et ?rest_route= couvertes). Les utilisateurs capables de modifier des articles, comme les éditeurs et Gutenberg, ne sont pas impactés.

Téléchargez block-batch.php_.zip
Décompressez-le : le fichier s’appelle block-batch.php
Envoyez-le dans wp-content/mu-plugins/ (créez le dossier s’il n’existe pas). Un mu-plugin se charge automatiquement, sans activation

Attention : c’est un pansement, pas un remède. Il ne remplace pas la mise à jour et peut casser une intégration externe qui utiliserait l’API batch sans être connectée.

Et si votre site était déjà exposé ?

Vérifiez la liste des comptes administrateurs
Cherchez des plugins ou fichiers PHP inconnus (wp-content/uploads, mu-plugins)
Changez les mots de passe et les clés de wp-config.php
Surveillez les logs pour des requêtes vers /batch/v1

Besoin d’aide pour mettre à jour, sécuriser ou nettoyer votre site WordPress ? Contactez OH MY DEV!