« Une question de temps et de jetons » : comment la faille wp2shell a mis tous les sites WordPress sous tension

Voici une actualité importante du front de l’IA : Publié le 22 juillet 2026 à 09h02 Cyberguerre Sécurité informatique B2B Entreprise « Une question de temps et de jetons » : comment la faille wp2shell a mis tous les sites WordPress sous tension La menace fantôme 2 min Amine Baba Aissa Amine Baba Aissa 2 min 2 min Amine Baba Aissa Amine Baba Aissa Ne plus voir cette pub Lecture Zen Résumer l'article Résumé de l'article Résumé par IA, vérifié par Numerama ? Nous générons pour vous un résumé de l’article grâce à une IA et nous le vérifions afin de nous assurer qu’il n’y ait aucune erreur, pour garantir l’authenticité de l’info. En savoir plus WordPress a publié en urgence les versions 7.

5 suite à deux vulnérabilités critiques, y compris la faille wp2shell, le 17 juillet 2026. La faille wp2shell combine une faiblesse de l'API (CVE-2026-63030) et une injection SQL (CVE-2026-60137) pour permettre l'exécution de code malveillant, potentiellement soutenu par l'IA. Bien que la mise à jour soit impérative, les chercheurs recommandent également de surveiller les nouveaux comptes administratifs et plugins suspects, car patcher seul pourrait être insuffisant.

Détails techniques

WordPress a publié en urgence les versions 7. 5 suite à deux vulnérabilités critiques, y compris la faille wp2shell, le 17 juillet 2026. La faille wp2shell combine une faiblesse de l'API (CVE-2026-63030) et une injection SQL (CVE-2026-60137) pour permettre l'exécution de code malveillant, potentiellement soutenu par l'IA.

Bien que la mise à jour soit impérative, les chercheurs recommandent également de surveiller les nouveaux comptes administratifs et plugins suspects, car patcher seul pourrait être insuffisant. Recevez tous les soirs un résumé de l’actu importante avec Le Récap’ Le 17 juillet, WordPress corrigeait en urgence deux failles au sein même de sa base logicielle. Depuis, de nombreux chercheurs en sécurité alertent sur une exploitation massive avec, parfois, un solide coup de main de l'IA.

La course contre la montre semblait perdue d'avance. Le 17 juillet 2026, WordPress publiait les versions 7. 5, censées corriger deux vulnérabilités du cœur du CMS, dont une faille critique aujourd'hui baptisée wp2shell.

Répercussions sectorielles

Face au risque encouru, WordPress a même activé les mises à jour automatiques forcées, une mesure normalement réservée aux cas les plus graves. Sur le papier, la fenêtre de tir des attaquants aurait donc dû se refermer vite. Sauf que cette mise à jour forcée n'a pas touché les sites où l'auto-update était désactivé ou mal configuré.

Et pour les autres, encore fallait-il que le déploiement aille plus vite que les attaquants. Selon Jake Knott, chercheur chez watchTowr, il était possible de reproduire la première faille quelques minutes à peine après sa divulgation, et la seconde avec un peu plus d'efforts, notamment à l'aide de modèles d'IA générative. « Une question de temps et de jetons », résume-t-il au média britannique The Register.

Ce développement devrait intensifier la concurrence dans le domaine de l’IA.