---
title: "Failles critiques WordPress (juillet 2026) : l’alerte Cybermalveillance et le plan d’urgence"
description: "Mise à jour du 29 juillet 2026. Le 23 juillet 2026, la plateforme gouvernementale Cybermalveillance.gouv.fr a relayé une alerte de sécurité critique concernant WordPress, dans le prolongement du bulletin CERTFR-2026-ALE-007 publié par le CERT-FR (ANSSI). Deux vulnérabilités, exploitées de façon combinée, permettent à un attaquant non authentifié de prendre le contrôle total d’un site à […]"
url: "https://www.newp.fr/actualites/cas-clients-coulisses/news/failles-critiques-wordpress-juillet-2026/"
author: "Kévin Papot"
date: "2026-07-29T14:39:11+00:00"
modified: "2026-07-30T07:35:00+00:00"
lang: "fr_FR"
categories: ["Coulisses NEWP"]
tags: ["WordPress"]
---

# Failles critiques WordPress (juillet 2026) : l’alerte Cybermalveillance et le plan d’urgence

**Mise à jour du 29 juillet 2026.** Le 23 juillet 2026, la plateforme gouvernementale Cybermalveillance.gouv.fr a relayé une alerte de sécurité critique concernant WordPress, dans le prolongement du bulletin **CERTFR-2026-ALE-007** publié par le CERT-FR (ANSSI). Deux vulnérabilités, exploitées de façon combinée, permettent à un attaquant **non authentifié** de prendre le contrôle total d'un site à distance. Un code d'exploitation (« preuve de concept ») étant déjà public, des campagnes d'attaques massives sont anticipées. WordPress équipant plus de 4 sites sur 10 dans le monde, l'exposition est considérable. Voici ce qu'il faut comprendre, et surtout ce qu'il faut faire, tout de suite.

## L'essentiel en 30 secondes

- **Deux failles critiques** : `CVE-2026-60137` (injection SQL) et `CVE-2026-63030`, surnommée **WP2Shell** (contournement de politique de sécurité).
- **Le danger** : combinées, elles ouvrent la voie à une **exécution de code arbitraire à distance** (RCE), sans identifiant ni mot de passe.
- **Versions concernées** : WordPress 6.8.x avant 6.8.6, 6.9.x avant 6.9.5, 7.0.x avant 7.0.2, 7.1.x avant 7.1 beta2.
- **La solution n°1** : mettre à jour le cœur de WordPress **immédiatement** vers une version corrigée.
- **Si la mise à jour est impossible** : bloquer l'accès non authentifié à l'API REST, en particulier le point d'entrée `/wp-json/batch/v1`, via un pare-feu applicatif (WAF).

Vous n'êtes pas sûr de la version installée, vous voyez des comportements anormaux, ou vous préférez déléguer l'intervention à des experts ? Notre équipe traite ce type d'urgence en continu : consultez notre service de [dépannage et d'urgence WordPress](https://www.newp.fr/depannage-wordpress/).

## Ce que dit précisément l'alerte Cybermalveillance et le CERT-FR

L'alerte ne concerne pas un plugin ou un thème tiers, mais le **cœur (« core ») de WordPress lui-même** — ce qui explique son caractère exceptionnel. Deux vulnérabilités distinctes ont été identifiées et corrigées par l'équipe de sécurité de WordPress, puis relayées en France par le CERT-FR (le 20 juillet 2026) et Cybermalveillance.gouv.fr (le 23 juillet, mise à jour le 28 juillet).

### CVE-2026-60137 — une injection SQL

La première faille est une **injection SQL**. Ce type de vulnérabilité permet à un attaquant d'insérer des instructions malveillantes dans les requêtes que le site adresse à sa base de données. Concrètement, cela peut servir à lire des données qui devraient rester privées (identifiants, contenus, informations clients), à les modifier ou à les supprimer. Prise isolément, elle est déjà grave ; c'est sa combinaison avec la seconde faille qui la rend critique.

### CVE-2026-63030 (« WP2Shell ») — un contournement de politique de sécurité

La seconde vulnérabilité est un **contournement des règles de sécurité** internes de WordPress. Son surnom, « WP2Shell », est évocateur : elle constitue le maillon qui permet de passer d'une simple manipulation de données à l'obtention d'un **accès shell** — c'est-à-dire la capacité d'exécuter ses propres commandes sur le serveur qui héberge le site.

### Le vrai danger : la combinaison des deux (RCE non authentifiée)

Selon le CERT-FR, « un attaquant peut exploiter ces deux vulnérabilités, de manière combinée, pour obtenir une exécution de code arbitraire à distance » sur les installations en version 6.9 et ultérieures. C'est le scénario le plus redouté en cybersécurité : un individu, **sans compte ni mot de passe**, enchaîne l'injection SQL et le contournement pour faire tourner son propre code sur votre hébergement. À partir de là, il contrôle le site — et souvent le serveur.

Le vecteur technique identifié passe par l'**API REST** de WordPress, et plus précisément par le point d'entrée `/wp-json/batch/v1`, qui permet de regrouper plusieurs requêtes en une seule. C'est ce détail qui rend le contournement possible à distance et sans authentification.

## Quelles versions de WordPress sont touchées ?

Les branches encore maintenues sont toutes concernées. Le tableau ci-dessous récapitule les versions vulnérables et les versions corrigées à installer.

| Branche WordPress | Versions vulnérables | Version corrigée à installer |
|---|---|---|
| 6.8.x | Antérieures à 6.8.6 | **6.8.6** |
| 6.9.x | Antérieures à 6.9.5 | **6.9.5** |
| 7.0.x | Antérieures à 7.0.2 | **7.0.2** |
| 7.1.x (bêta) | Antérieures à 7.1 beta2 | **7.1 beta2** |

Si votre site tourne sur une version antérieure à celles de la colonne de droite, considérez-le comme **exposé**. Les versions plus anciennes et non maintenues (6.7 et antérieures) ne reçoivent plus de correctifs de sécurité : elles doivent faire l'objet d'une **migration prioritaire**, un chantier que nous détaillons plus bas.

## Pourquoi cette alerte est différente des précédentes

Chaque année, des milliers de vulnérabilités sont publiées dans l'écosystème WordPress, mais la très grande majorité concerne des **extensions ou des thèmes** tiers. Ici, trois facteurs se cumulent pour justifier une réaction immédiate :

1. **La faille est dans le cœur.** Aucun plugin particulier n'est requis : toute installation à jour du strict minimum est concernée. La surface d'attaque est donc maximale.
2. **Une preuve de concept est publique.** Le CERT-FR mentionne l'existence d'un code d'exploitation accessible. Le délai entre publication d'un PoC et vagues d'attaques automatisées se compte désormais en heures, pas en semaines.
3. **Aucune authentification n'est nécessaire.** Les attaques peuvent être entièrement automatisées et lancées à grande échelle par des robots qui scannent Internet à la recherche de sites non corrigés.

Les conséquences d'une compromission réussie sont, selon Cybermalveillance.gouv.fr, « la prise de contrôle à distance des équipements concernés et l'espionnage, le vol, voire la destruction, d'informations ». En pratique, sur un site professionnel, cela se traduit par : vol de la base clients, défiguration (« defacement ») de la page d'accueil, installation de portes dérobées, envoi de courriels frauduleux depuis votre nom de domaine, ou encore injection de contenus parasites à des fins de spam — avec, à la clé, un impact SEO durable que nous abordons plus loin.

## Comment savoir si votre site est vulnérable (ou déjà compromis)

### Étape 1 : vérifier votre version de WordPress

Connectez-vous à votre tableau de bord : la version s'affiche en bas à droite de l'écran, ou dans *Tableau de bord → Mises à jour*. Comparez-la au tableau ci-dessus. Si vous ne pouvez plus accéder à l'administration, c'est déjà un signal à prendre au sérieux.

### Étape 2 : repérer les signes d'une compromission

Un site déjà exploité ne le crie pas toujours. Les indices les plus fréquents :

- des redirections inexpliquées vers des sites tiers (paris en ligne, pharmacie, contenus douteux) ;
- des pages ou des articles que vous n'avez pas créés, souvent bourrés de mots-clés sans rapport avec votre activité ;
- de nouveaux comptes administrateurs inconnus ;
- un site lent, ou un hébergeur qui vous signale une surconsommation de ressources ;
- des alertes de Google (« Ce site risque d'endommager votre ordinateur ») ou une chute brutale du trafic ;
- des fichiers récemment modifiés dans `wp-content` ou à la racine, sans intervention de votre part.

Si l'un de ces symptômes est présent, ne vous contentez pas de mettre à jour : la mise à jour referme la porte, mais ne chasse pas l'intrus déjà entré. Il faut alors passer par une procédure complète de nettoyage, que nous décrivons dans notre guide dédié au [nettoyage d'un site WordPress piraté](https://www.newp.fr/wordpress-pirate/).

## Le plan d'action d'urgence, étape par étape

### 1. Sauvegardez avant toute chose

Réalisez une **sauvegarde complète** (fichiers + base de données) avant d'intervenir. Même sur un site potentiellement compromis, cette copie servira de point de comparaison pour identifier ce qui a été modifié, et de filet de sécurité si une mise à jour se passe mal. Stockez-la hors du serveur.

### 2. Mettez à jour le cœur de WordPress

C'est **la** mesure prioritaire recommandée par toutes les autorités. Depuis *Tableau de bord → Mises à jour*, installez la version corrigée correspondant à votre branche (6.8.6, 6.9.5, 7.0.2 ou 7.1 beta2). Sur un site en bonne santé, l'opération prend quelques minutes. Profitez-en pour mettre également à jour vos **extensions et votre thème**, dont les vulnérabilités restent le premier vecteur de piratage.

### 3. Activez les mises à jour automatiques du cœur

Pour les correctifs de sécurité, WordPress propose des mises à jour automatiques. Vérifiez qu'elles sont bien activées afin qu'un futur correctif critique s'installe sans intervention manuelle. C'est la différence entre être protégé en quelques heures ou rester exposé plusieurs semaines.

### 4. Si la mise à jour est impossible : contournement

Certains sites ne peuvent pas être mis à jour immédiatement (dépendances fragiles, développement spécifique, thème sur-mesure incompatible). Dans ce cas, la mesure de contournement recommandée par le CERT-FR est de **bloquer l'accès non authentifié à l'API REST**, et en priorité l'endpoint `/wp-json/batch/v1`, à l'aide d'un pare-feu applicatif (WAF). Attention : il s'agit d'un pansement temporaire, pas d'un correctif. La mise à jour reste indispensable dès que possible.

### 5. Scannez et durcissez

Passez un scanner de sécurité (type Wordfence ou équivalent) pour détecter fichiers modifiés, portes dérobées et comptes suspects. Changez ensuite l'ensemble des mots de passe : administrateurs, base de données, comptes FTP/SSH et hébergement. Supprimez tout compte utilisateur que vous ne reconnaissez pas.

### 6. Surveillez dans la durée

Une remise en sécurité ne se juge pas au jour J mais dans les semaines qui suivent. Surveillez vos journaux de connexion, les modifications de fichiers et l'état d'indexation de votre site dans la Search Console, pour vous assurer qu'aucune porte dérobée ne subsiste.

Vous manquez de temps, d'accès ou de sérénité pour dérouler ce plan seul ? C'est exactement le rôle de notre [service de dépannage WordPress en urgence](https://www.newp.fr/depannage-wordpress/) : diagnostic, mise à jour sécurisée, vérification post-intervention. Le diagnostic initial est offert, et un devis est établi avant toute action.

## « Mon site est déjà piraté » : la bonne réaction

Si vous constatez qu'il est trop tard — redirections, pages parasites, alerte Google — la précipitation est mauvaise conseillère. Réinstaller WordPress par-dessus ne suffit généralement pas : les attaquants laissent des **portes dérobées** disséminées qui permettent de revenir, même après mise à jour. La procédure correcte enchaîne : mise en maintenance, sauvegarde de l'état infecté pour analyse, identification et suppression des fichiers malveillants, réinitialisation des accès, puis demande de réexamen auprès de Google si le site a été blacklisté.

Nous détaillons chaque étape, ainsi que les signes d'un piratage (« pharma hack », « japanese keyword hack », injections de spam), dans notre page dédiée : [site WordPress piraté, comment le nettoyer et le sécuriser](https://www.newp.fr/wordpress-pirate/).

## L'impact SEO d'un piratage : la double peine

Un piratage n'est pas qu'un problème technique : c'est aussi une **catastrophe de référencement**. Lorsqu'un attaquant injecte des centaines de pages de spam ou des redirections malveillantes, Google peut appliquer une **action manuelle pour « contenu piraté »**, faire chuter vos positions, voire retirer le site de son index. Le message d'avertissement affiché dans les résultats de recherche dissuade par ailleurs la plupart des visiteurs de cliquer.

Récupérer après une telle sanction demande un travail spécifique : nettoyage complet, demande de réexamen, et parfois désaveu de liens toxiques créés pendant la compromission. Nous expliquons la marche à suivre dans notre guide sur la [récupération après une pénalité Google](https://www.newp.fr/penalites-google/). Corriger la faille rapidement, c'est aussi protéger des mois — voire des années — d'efforts de référencement.

## Au-delà de l'urgence : faire de la sécurité une routine

Cette alerte est un rappel : la sécurité d'un site WordPress n'est pas un état, c'est un **processus**. Les bonnes pratiques qui vous auraient épargné bien des sueurs froides tiennent en quelques principes :

- **Mises à jour régulières** du cœur, des extensions et du thème — la première cause de piratage reste un composant obsolète.
- **Sauvegardes automatiques** et externalisées, testées de temps à autre (une sauvegarde qu'on ne sait pas restaurer ne sert à rien).
- **Réduction de la surface d'attaque** : supprimer les extensions et thèmes inutilisés, limiter les comptes administrateurs.
- **Authentification renforcée** : mots de passe forts et double authentification sur les comptes à privilèges.
- **Pare-feu applicatif (WAF)** et surveillance des fichiers pour détecter une intrusion au plus tôt.

Mettre en place et maintenir ce socle demande du temps et une veille constante. Beaucoup de TPE et PME préfèrent le confier à un prestataire dont c'est le métier : c'est l'objet de nos prestations de maintenance et d'[accompagnement WordPress](https://www.newp.fr/agence-wordpress/), pensées pour que ce type d'alerte ne vous prenne plus jamais au dépourvu. Pour aller plus loin, consultez notre [guide complet pour sécuriser WordPress](https://www.newp.fr/actualites/creation-refonte/web-agency/securite-wordpress-guide-complet-2026/) (10 piliers + checklist).

## Questions fréquentes

### Mon site est à jour, suis-je définitivement protégé ?

Contre ces deux failles précises, oui, une fois installée la version corrigée de votre branche. Mais un site à jour aujourd'hui ne l'est plus demain : de nouvelles vulnérabilités apparaissent en permanence, notamment dans les extensions. La protection réelle vient de la régularité des mises à jour, pas d'une intervention ponctuelle.

### Je n'utilise pas l'API REST, suis-je concerné ?

Oui. L'API REST est **active par défaut** sur toute installation WordPress, même si vous ne l'utilisez pas consciemment. C'est précisément ce qui rend la faille dangereuse à si grande échelle. La désactiver ou la restreindre fait partie des mesures de contournement, mais ne remplace pas la mise à jour.

### La mise à jour risque-t-elle de casser mon site ?

Le risque existe surtout sur les sites anciens, avec un thème sur-mesure ou des extensions non maintenues. C'est justement pour cela qu'une **sauvegarde préalable** est indispensable, et qu'il vaut mieux, en cas de doute, tester la mise à jour sur un environnement de préproduction. Face au risque d'une prise de contrôle à distance, rester sur une version vulnérable reste toutefois le plus grand des dangers.

### Comment savoir si des données ont été volées ?

C'est difficile à établir avec certitude sans analyse. L'examen des journaux du serveur, des fichiers modifiés et des connexions à la base de données permet de reconstituer ce qui a pu se passer. Si votre site traite des données personnelles et qu'une fuite est avérée ou probable, des obligations légales s'appliquent (notification à la CNIL sous 72 heures dans le cadre du RGPD). En cas de doute, faites réaliser un audit par un professionnel.

## Sources officielles

- Cybermalveillance.gouv.fr — *AlerteCyber : failles de sécurité critiques dans WordPress* (23 juillet 2026, mis à jour le 28 juillet 2026).
- CERT-FR / ANSSI — Bulletin d'alerte **CERTFR-2026-ALE-007** (20 juillet 2026).
- WordPress.org — note de version 7.0.2 et correctifs des branches 6.8.6 / 6.9.5.

*Cet article est publié à titre d'information. Les références (numéros de CVE, versions, dates) reflètent l'état des publications officielles au 29 juillet 2026 ; vérifiez toujours la dernière version disponible sur WordPress.org avant d'intervenir. Face à une faille critique, la rapidité d'action prime : en cas de doute sur votre exposition, notre équipe reste joignable pour un [dépannage WordPress en urgence](https://www.newp.fr/depannage-wordpress/).*

---

*Source : [www.newp.fr](https://www.newp.fr/actualites/cas-clients-coulisses/news/failles-critiques-wordpress-juillet-2026/)*