Deux vulnérabilités WordPress haute sévérité : injection SQL et exécution de code à distance - patch immédiat requis

Le 18 juillet 2026, l’équipe de sécurité WordPress a publié une mise à jour critique (version 7.0.2) corrigeant deux failles de sécurité : l’une classée critique, l’autre haute sévérité. La première, référencée CVE-2026-60137, est une injection SQL facilitée. La seconde, CVE-2026-63030, combine une confusion de route batch de l’API REST avec une injection SQL, ouvrant la voie à une exécution de code à distance (RCE). Selon les chercheurs d’Assetnote et de Searchlight Cyber, ces vulnérabilités exposent des millions de sites WordPress à une prise de contrôle complète. Dans cet article, nous décryptons chaque faille, les versions impactées, les correctifs disponibles et les mesures d’urgence à appliquer sans attendre.

Injection SQL et RCE : deux menaces qui ciblent le cœur de WordPress

CVE-2026-60137 - Injection SQL facilitée

Cette vulnérabilité, découverte par les équipes TF1T, dtro et haongo, affecte la manière dont WordPress gère certaines requêtes SQL. Un attaquant non authentifié peut exploiter une faille dans le traitement des paramètres pour injecter des commandes SQL malveillantes. En pratique, cela permet de lire, modifier ou supprimer des données sensibles de la base de données - mots de passe, clés API, contenus privés. La note CVSS attribuée est de 9.8 (critique), car l’exploitation ne nécessite aucune interaction utilisateur.

« Cette injection SQL est particulièrement dangereuse car elle contourne les mécanismes de filtrage standard de WordPress », explique l’équipe de sécurité de Wordfence dans une analyse post-patch.

CVE-2026-63030 - Confusion de route batch et RCE

Découverte par Adam Kues (Assetnote / Searchlight Cyber), cette faille exploite une confusion dans le routage des requêtes batch de l’API REST WordPress. En envoyant une requête spécialement conçue à l’endpoint /wp-json/batch/v1, un attaquant peut provoquer une injection SQL, puis enchaîner avec une exécution de code arbitraire. La combinaison des deux vecteurs élève le niveau de sévérité à 9.9 (critique). Selon le rapport de Searchlight Cyber, cette vulnérabilité a été découverte lors d’un audit de sécurité interne et n’a pas été exploitée dans la nature avant la publication du correctif.

Comment fonctionne l’attaque ?

1. L’attaquant envoie une requête batch malformée à l’API REST.
2. WordPress interprète de manière erronée la route, ce qui déclenche une injection SQL dans une table temporaire.
3. L’injection SQL permet d’écrire un fichier PHP malveillant dans le répertoire wp-content/uploads/.
4. L’attaquant exécute ensuite ce fichier pour prendre le contrôle total du site.

Ce scénario illustre parfaitement la criticité de la faille : un simple accès réseau suffit pour compromettre le serveur.

Quelles versions de WordPress sont vulnérables ?

Le tableau ci-dessous récapitule les versions impactées et les correctifs associés :

Source : WordPress Security Release 7.0.2, 18 juillet 2026.

Important : Les versions 6.8 ne sont vulnérables qu’à la première faille (CVE-2026-60137), mais il est fortement recommandé d’appliquer le correctif sans délai. Les versions antérieures à 6.8 ne sont pas affectées, car l’API REST batch a été introduite dans WordPress 6.8.

Mesures d’urgence : comment se protéger en attendant le patch

Si vous ne pouvez pas mettre à jour immédiatement, les chercheurs de Searchlight Cyber recommandent une mitigation temporaire : bloquer l’accès anonyme à l’API batch. Deux méthodes sont possibles :

1. Bloquer via un plugin

Installez un plugin de sécurité (comme Wordfence, Sucuri ou iThemes Security) qui permet de restreindre l’accès à l’API REST. Configurez-le pour interdire les requêtes non authentifiées vers /wp-json/batch/v1. Attention : cette mesure peut bloquer des fonctionnalités légitimes (ex. : envoi de formulaires par des visiteurs non connectés). Testez-la sur un environnement de staging avant de l’appliquer en production.

2. Bloquer via un WAF (pare-feu applicatif)

Ajoutez une règle dans votre pare-feu (Cloudflare, ModSecurity, etc.) pour bloquer les requêtes contenant /wp-json/batch/v1 ou ?rest_route=/batch/v1. Exemple de règle pour Apache/ModSecurity :

SecRule REQUEST_URI "@contains /wp-json/batch/v1" "id:10001,phase:1,deny,status:403,msg:'Blocage temporaire CVE-2026-63030'"

Attention : Ces solutions sont des mesures d’urgence. Elles ne remplacent en aucun cas l’application du correctif officiel. De plus, elles peuvent impacter des plugins ou thèmes qui utilisent légitimement l’API batch. Évaluez soigneusement les conséquences avant de les déployer.

Procédure de mise à jour sécurisée : les étapes à suivre

Pour corriger définitivement ces vulnérabilités, suivez les étapes ci-dessous :

1. Sauvegardez votre site - Base de données, fichiers, plugins, thèmes. Utilisez une solution de sauvegarde automatisée (UpdraftPlus, BackupBuddy, etc.). Stockez la sauvegarde hors ligne.
2. Mettez à jour WordPress - Depuis le tableau de bord, allez dans Tableau de bord > Mises à jour et cliquez sur « Mettre à jour vers WordPress 6.9.5 » (ou 6.8.6 selon votre version). Si la mise à jour automatique ne s’affiche pas, téléchargez le package depuis wordpress.org et installez-le manuellement via FTP.
3. Vérifiez les extensions - Assurez-vous que tous vos plugins et thèmes sont compatibles avec la nouvelle version. Mettez-les à jour si nécessaire.
4. Testez le fonctionnement - Parcourez les pages principales, vérifiez les formulaires, les connexions utilisateur. Utilisez un outil comme WPScan pour confirmer que les vulnérabilités ne sont plus détectables.
5. Supprimez les mesures temporaires - Si vous aviez mis en place un blocage WAF ou un plugin de restriction, retirez-le après la mise à jour.

Conseil d’expert : Planifiez une fenêtre de maintenance et informez vos utilisateurs à l’avance. En environnement multisite, la mise à jour doit être effectuée sur le réseau principal.

Pourquoi ces vulnérabilités sont-elles particulièrement dangereuses ?

Plusieurs facteurs aggravent le risque :

• Exploitation sans authentification - Les deux failles peuvent être déclenchées par un visiteur anonyme. Aucun compte administrateur n’est requis.
• Impact maximal - L’injection SQL permet d’exfiltrer l’intégralité de la base de données ; la RCE donne un accès complet au serveur.
• Large surface d’attaque - WordPress équipe plus de 43 % des sites web dans le monde (W3Techs, juillet 2026). Même une fraction de sites non mis à jour représente des millions de cibles potentielles.
• Délai de correction court - Les correctifs ont été publiés le 18 juillet. Les attaquants analysent généralement les correctifs en quelques jours pour créer des exploits. La fenêtre de vulnérabilité est donc très réduite.

Selon une étude de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), les CMS non mis à jour sont la première cause d’intrusion sur les sites web français en 2025. Cette nouvelle série de correctifs rappelle l’importance d’une veille de sécurité active.

Questions fréquentes (FAQ)

Mon site utilise WordPress 6.7, suis-je concerné ?

Non. Les versions antérieures à 6.8 ne possèdent pas l’API REST batch vulnérable. Cependant, il est toujours recommandé de maintenir votre site à jour pour bénéficier des correctifs de sécurité antérieurs.

Dois-je mettre à jour immédiatement même si je suis en production ?

Oui. Le risque d’exploitation est bien supérieur au risque de régression. Si vous avez un environnement de staging, testez la mise à jour d’abord, mais ne retardez pas l’application en production au-delà de 48 heures.

Les plugins de sécurité peuvent-ils bloquer ces attaques sans mise à jour ?

Partiellement. Les plugins comme Wordfence incluent des règles pour détecter les tentatives d’injection SQL, mais ils ne peuvent pas corriger la faille elle-même. La mise à jour reste la seule solution fiable à long terme.

Que faire si mon hébergeur ne supporte pas WordPress 6.9.5 ?

Changez d’hébergeur. Un hébergeur qui n’assure pas la compatibilité avec les dernières versions de WordPress met votre site en danger. Privilégiez les hébergeurs français certifiés (ex. : ceux labellisés « Hébergement sécurisé ANSSI »).

Conclusion : agissez maintenant

Les vulnérabilités CVE-2026-60137 et CVE-2026-63030 représentent une menace sérieuse pour tous les sites WordPress utilisant les versions 6.8, 6.9 ou 7.1 beta. L’injection SQL et l’exécution de code à distance sont les scénarios les plus redoutés par les administrateurs. Les correctifs sont disponibles : mettez à jour sans attendre. Si une mise à jour immédiate est impossible, appliquez les mesures de contournement décrites, mais considérez-les comme temporaires.

En 2026, la sécurité d’un site WordPress ne se limite pas à un bon mot de passe. Elle passe par une veille constante, des sauvegardes régulières et une politique de mise à jour rigoureuse. Les équipes de sécurité de WordPress et les chercheurs indépendants travaillent sans relâche pour protéger l’écosystème. À vous de jouer votre rôle en appliquant les correctifs dans les plus brefs délais.

« La meilleure défense contre une vulnérabilité connue est de l’éliminer à la source. Ne donnez pas aux attaquants une longueur d’avance. » - Adam Kues, Assetnote.