<p>Le CERT-FR a placé WordPress sous bulletin d'alerte et Cybermalveillance.gouv.fr a déclenché une AlerteCyber : deux vulnérabilités corrigées le 17...
Le site vitrine d'une PME est rarement le sujet de la réunion du lundi. Il a été livré il y a quelques années par une agence, il fonctionne, on y touche pour changer une photo ou ajouter une actualité. Personne n'en a formellement la charge. C'est exactement ce profil de site que vise l'alerte publiée fin juillet 2026 par les autorités françaises au sujet de WordPress. Le 17 juillet 2026, l'éditeur de WordPress a diffusé une mise à jour de sécurité du cœur du logiciel. Elle corrige deux défauts distincts: une injection SQL, référencée CVE-2026-60137, et un contournement de la politique de sécurité, référencé CVE-2026-63030 et rendu public sous le nom WP2Shell.
Prise isolément, chacune des deux paraît d'ampleur limitée. Le problème vient de leur enchaînement. Selon le CERT-FR, c'est la combinaison des deux qui permet l'exécution de code à distance sans authentification: autrement dit, un attaquant n'a besoin d'aucun identifiant, d'aucun compte, d'aucun mot de passe volé. Il lui suffit que le site soit accessible depuis Internet et resté dans une version vulnérable.
Ce que cela autorise, concrètement: lire et exfiltrer la base de données du site — donc les comptes clients, les commandes, les messages reçus via le formulaire de contact —, insérer des contenus ou des redirections frauduleuses invisibles pour l'administrateur, déposer une porte dérobée pour revenir plus tard, ou simplement détruire le site. Le CERT-FR indique que les versions 6.9 et ultérieures sont affectées par les deux vulnérabilités. Le périmètre listé dans son bulletin, dans sa version du 22 juillet 2026, est le suivant:
- branche 6.8.x: versions antérieures à 6.8.6;
- branche 6.9.x: versions antérieures à 6.9.5;
- branche 7.x: versions antérieures à 7.0.2;
- branche 7.1.x: versions antérieures à 7.1 beta2.
Cette liste est celle publiée à cette date: elle peut être complétée par le CERT-FR, qui reste la référence à consulter avant d'agir.
Où en est la menace
Au 30 juillet 2026, ni le CERT-FR ni Cybermalveillance.gouv.fr ne confirmaient d'exploitation avérée en conditions réelles. Cela ne doit pas rassurer. Le CERT-FR indique avoir connaissance d'un code d'attaque public — une preuve de concept — et anticipe des tentatives d'exploitation à grande échelle. De son côté, Cybermalveillance.gouv.fr a déclenché une AlerteCyber, son dispositif de diffusion le plus large, réservé aux situations les plus graves.
La séquence est connue: entre la publication d'un correctif et le balayage automatisé d'Internet à la recherche des sites qui ne l'ont pas appliqué, il s'écoule souvent quelques jours. Ce statut est susceptible de changer d'un jour à l'autre; il est à revérifier directement auprès du CERT-FR. Trois raisons se cumulent. D'abord, WordPress est très répandu pour les sites vitrines et les boutiques en ligne des petites structures. Ensuite, la mise à jour y est souvent irrégulière, faute de responsable désigné. Enfin, une prise de contrôle ne s'arrête pas au site: le serveur compromis peut servir de point d'appui vers le reste du système d'information, notamment lorsqu'il est hébergé sur la même infrastructure que d'autres services.
S'ajoute une dimension réglementaire. Si des données personnelles de clients ou de prospects ont pu être consultées ou exfiltrées, la violation doit être notifiée à la CNIL dans les 72 heures suivant sa prise de connaissance, conformément au RGPD. La question à trancher n'est pas technique: c'est de savoir, aujourd'hui, qui décide et qui rédige cette notification le jour où le cas se présente. 1. Recenser tous vos sites WordPress, y compris ceux que l'on oublie: ancien site vitrine laissé en ligne, blog d'une marque abandonnée, environnement de préproduction, site hébergé chez une agence avec laquelle vous ne travaillez plus. Ce sont presque toujours ceux-là qui se font compromettre, précisément parce que plus personne ne les suit. La version installée s'affiche dans le tableau de bord WordPress, rubrique Mises à jour.
2. Mettre à jour sans attendre vers la version corrigée de votre branche: 6.8.6, 6.9.5 ou 7.0.2. Ordre indicatif, à valider hors production: sauvegarder la base de données et le dossier des fichiers (wp-content), tester sur une copie si vous en disposez, puis appliquer en production. Il s'agit d'une mise à jour de sécurité du cœur, non d'un changement de version majeure: le risque de régression est faible, mais la sauvegarde préalable reste indispensable.
3. Si la mise à jour est impossible dans l'immédiat, le CERT-FR relaie une mesure de contournement proposée par les chercheurs à l'origine de la découverte: bloquer l'accès non authentifié à l'API REST de WordPress, en particulier le chemin /wp-json/batch/v1 et les requêtes contenant le paramètre rest_route=/batch/v1, au moyen d'un pare-feu applicatif. Attention: restreindre l'API REST peut casser des fonctions qui en dépendent — éditeur de blocs, formulaires, extensions, applications mobiles. C'est un pansement, pas une solution.
4. Vérifier si le site a déjà été touché, en particulier s'il est resté sans correctif après le 17 juillet 2026. Signaux à examiner: comptes administrateurs inconnus, fichiers PHP récents dans wp-content/uploads, tâches planifiées que personne n'a créées, redirections inattendues pour les visiteurs venant d'un moteur de recherche, hausse anormale du trafic sortant. En cas de doute sérieux, ne nettoyez pas dans la précipitation: conservez les journaux et une copie du serveur, ils seront nécessaires à l'analyse.
5. Activer les mises à jour automatiques du cœur de WordPress et désigner nommément une personne chargée du suivi. Le problème est rarement la faille elle-même: c'est le délai entre la publication du correctif et son application.
6. Se faire accompagner si besoin. Cybermalveillance.gouv.fr met à disposition un annuaire de prestataires de proximité pour la mise en œuvre de ces mesures.
À retenir
Cette alerte n'a rien d'exceptionnel dans sa mécanique: un correctif publié, un délai d'application trop long, une exploitation de masse qui arrive derrière. Ce qui se joue ici tient en une question simple, à poser dès aujourd'hui en interne: sait-on combien de sites WordPress porte l'entreprise, et qui est responsable de les tenir à jour? Les entreprises qui répondent en dix secondes traiteront cette alerte comme une tâche de maintenance. Les autres la découvriront le jour où le site redirige leurs visiteurs vers autre chose.
Les éléments techniques mentionnés dans cet article sont donnés à titre indicatif et doivent être validés sur votre propre infrastructure, hors production, avant tout déploiement. Cet article ne constitue pas un conseil juridique: pour vos obligations en matière de données personnelles, référez-vous à la CNIL ou à votre conseil.
- Cybermalveillance.gouv.fr, « AlerteCyber: Failles de sécurité critiques dans WordPress », publié le 23 juillet 2026, mis à jour le 28 juillet 2026 (niveau d'alerte, appréciation du risque, annuaire de prestataires).
- ANSSI / CERT-FR, bulletin d'alerte CERTFR-2026-ALE-007, « Multiples vulnérabilités dans WordPress », première version le 20 juillet 2026, dernière version le 22 juillet 2026 (versions affectées, enchaînement des deux vulnérabilités, existence d'un code d'attaque public, mesure de contournement).
- Bulletin de l'éditeur WordPress, version 7.0.2 publiée le 17 juillet 2026, cité par les deux sources ci-dessus (date de mise à disposition du correctif).
- Règlement général sur la protection des données, article 33, et informations de la CNIL sur la notification des violations de données (délai de 72 heures).
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille interne du 31 juillet 2026, elle-même appuyée sur les publications du CERT-FR et de Cybermalveillance.gouv.fr citées ci-dessus. La rédaction n'a pas pu, lors de la préparation de cet article, consulter directement les pages sources en ligne pour un contrôle indépendant: les informations reprises ici sont celles relevées dans la veille au 30 juillet 2026. Le statut d'exploitation de ces vulnérabilités évolue rapidement et doit être revérifié sur cert.ssi.gouv.fr et cybermalveillance.gouv.fr avant toute décision ou communication.