Flibustier FormationBETA
Flibustier FormationBETA
Une faille critique permet de prendre le contrôle d'un site WordPress non à jour, sans mot de passe. Testez le vôtre en 10 secondes.
Découverte par le chercheur Adam Kues (Assetnote / Searchlight Cyber) et corrigée par WordPress le 17 juillet 2026, wp2shell est en réalité l'enchaînement de deux failles présentes dans le cœur de WordPress lui-même — pas dans un plugin qu'on pourrait désinstaller :
Enchaînées, elles permettent à un attaquant anonyme — sans compte, sans plugin, sans la moindre interaction — d'exécuter du code sur le serveur via une simple requête HTTP. C'est ce qu'on appelle une RCE pré-authentifiée : le pire scénario pour un site web.
Cela dépend de votre version de WordPress :
Non. Il se contente de lire le numéro de version que votre site publie déjà publiquement (dans le code de la page, le flux RSS ou l'API REST) — exactement ce que fait un navigateur. Aucun code d'exploitation n'est envoyé, rien n'est modifié, aucune donnée n'est conservée.
Non, c'est même plutôt bon signe : cela veut dire que votre version est masquée (souvent par un plugin de sécurité). Dans ce cas, impossible de conclure à distance : connectez-vous à votre administration et vérifiez la version dans « Tableau de bord → Mises à jour ». Dans le doute, mettez à jour.
Pour cette faille précise, oui. Mais gardez les mises à jour automatiques activées : d'autres failles apparaîtront. La règle d'or reste : un WordPress à jour, des extensions à jour, et des sauvegardes régulières.
La partie « exécution de code » de la faille est plus difficile à déclencher quand un cache d'objets persistant est actif — mais l'injection SQL, elle, reste exploitable. Ne comptez pas sur votre configuration : la seule vraie protection, c'est la mise à jour.