Des attaques en cours contre des sites WordPress
Des preuves d'exploitation active dans l'environnement réel de deux vulnérabilités critiques affectant le cœur de WordPress ont été détectées par des équipes de sécurité. Ces failles, désignées sous le nom collectif de « wp2shell », permettent à un attaquant non authentifié d'exécuter du code à distance (RCE) et de compromettre intégralement un site. Selon des sources proches du dossier, des tentatives malveillantes visant à installer des webshells — des scripts qui offrent un accès persistant au serveur — ont été repérées sur plusieurs plates-formes.
Une chaîne de deux vulnérabilités
La campagne d'attaques cible une chaîne de deux failles distinctes. La première, référencée CVE-2026-XXXX, réside dans le composant de gestion des fichiers du noyau de WordPress. Elle permet à un intrus de téléverser un fichier arbitraire sans disposer de droits d'administration. La seconde, identifiée sous le code CVE-2026-YYYY, concerne le moteur de templates et autorise l'inclusion de fichiers distants. Combinées, ces deux faiblesses offrent à un attaquant la possibilité d'exécuter du code arbitraire sur le serveur hébergeant le site, sans nécessiter la moindre identification préalable.
Des correctifs disponibles mais pas toujours appliqués
L'équipe de développement de WordPress a publié des correctifs pour ces deux vulnérabilités dès la version 6.7.5 de son système de gestion de contenu, sortie le 19 juillet 2026. La mise à jour de sécurité corrige à la fois la faille de téléversement non autorisé et celle d'inclusion de fichier distant. Cependant, un nombre significatif d'administrateurs de sites n'ont pas encore appliqué ce correctif, exposant leurs installations à des compromissions. Les experts recommandent d'effectuer la mise à jour sans délai et de vérifier l'intégrité des fichiers du site après l'application du patch.
Des exploits publics accélèrent les risques
Peu après la publication des correctifs, des codes d'exploitation (proof-of-concept) ont été rendus publics par des chercheurs en sécurité, démontrant la faisabilité technique de l'attaque. La disponibilité de ces outils a considérablement réduit le temps nécessaire aux acteurs malveillants pour lancer des opérations à grande échelle. Les premières observations d'exploitation active interviennent environ une semaine après la divulgation des détails techniques, un délai jugé préoccupant par les spécialistes.
Les conséquences d'une compromission
L'installation d'un webshell sur un site WordPress offre à l'attaquant un contrôle quasi total : modification du contenu, vol de données, installation de logiciels malveillants supplémentaires, ou utilisation du serveur comme relais pour des attaques ultérieures. Les sites ciblés peuvent également servir à héberger des pages de phishing ou à diffuser des malwares vers les visiteurs. Les administrateurs sont invités à surveiller leurs journaux d'accès et à rechercher des fichiers inconnus dans les répertoires sensibles.
Recommandations et mesures de protection
Pour se prémunir contre ces attaques, la priorité absolue est d'appliquer le correctif fourni par WordPress dans la version 6.7.5. Les sites qui ne peuvent pas être mis à jour immédiatement doivent envisager des mesures compensatoires, comme le renforcement des règles du pare-feu applicatif (WAF) pour bloquer les tentatives de téléversement non autorisé et les inclusions de fichiers distants. Il est également conseillé de désactiver temporairement les plugins non essentiels et de limiter les droits d'écriture sur les répertoires du serveur. Une analyse approfondie du système à l'aide d'outils de détection de malwares est recommandée même après l'application du correctif, au cas où une compromission aurait déjà eu lieu.
Un appel à la vigilance
Alors que les attaques se multiplient, les autorités de cybersécurité rappellent l'importance d'une gestion rigoureuse des mises à jour. La faille wp2shell illustre une nouvelle fois les risques liés aux systèmes de gestion de contenu les plus populaires, qui constituent une cible privilégiée pour les cybercriminels. Les administrateurs de sites WordPress sont invités à vérifier sans attendre la version installée et à appliquer le correctif si ce n'est pas déjà fait.
