Exécution de code arbitraire à distance sans authentification affectant WordPress Core
Une vulnérabilité affectant WordPress permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
WordPress est un système de gestion de contenu (CMS) open source destiné à la création et à l'administration de sites web, déployé sur une part importante des sites dans le monde. WordPress Core est affecté par une vulnérabilité libellée CVE-2026-63030, résultant d'une confusion de routes dans le point d'accès de traitement par lots de l'API REST (/wp-json/batch/v1). Combinée à une injection SQL sans authentification libellée CVE-2026-60137, présente dans le paramètre author__not_in de la classe WP_Query, cette faille permettrait à un acteur malveillant non authentifié d'exécuter du code arbitraire à distance sur le serveur hébergeant une installation WordPress par défaut. Les chercheurs désignent cette chaîne de vulnérabilités sous le nom de wp2shell. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- WordPress versions 6.9.0 à 6.9.4 ;
- WordPress versions 7.0.0 à 7.0.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour WordPress vers la version 6.9.5, 7.0.2 ou supérieure ;
- Vérifier que la mise à jour de sécurité automatique, forcée par l'éditeur, a bien été appliquée sur les installations concernées ;
- À défaut de correctif immédiat, restreindre ou filtrer l'accès au point d'accès /wp-json/batch/v1 au moyen d'un pare-feu applicatif web (WAF) ;
- Rechercher d'éventuels signes de compromission (fichiers, comptes utilisateurs ou tâches planifiées inconnus) sur les installations exposées.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.