Faille wp2shell : pourquoi votre site WordPress doit être mis à jour maintenant
Une faille critique dans le cœur de WordPress permet à un pirate de prendre le contrôle d’un site sans aucun mot de passe. Voici ce que ça change pour vous, concrètement.
Le 17 juillet 2026, WordPress a publié en urgence deux versions correctives, la 7.0.2 et la 6.9.5. La raison : une faille de sécurité tellement grave que WordPress a carrément forcé la mise à jour automatique sur les sites concernés. Ça n’arrive quasiment jamais.
Cette faille a un nom : wp2shell. Et si vous gérez un site WordPress, il faut que vous compreniez ce qui se passe, parce que ça peut vous concerner directement.
wp2shell, c’est quoi exactement ?
En clair : un pirate peut prendre le contrôle total de votre site WordPress sans avoir besoin du moindre identifiant ni mot de passe. Une simple requête envoyée à votre site suffit à y exécuter du code malveillant.
Le plus inquiétant, c’est que la faille est dans le cœur de WordPress lui-même. Pas dans un plugin, pas dans un thème. Autrement dit, même un site tout neuf, sans aucune extension installée, était vulnérable.
Techniquement, wp2shell combine deux problèmes : une confusion dans l’API REST de WordPress et une injection SQL. Enchainés, les deux permettent à un visiteur anonyme d’aller jusqu’à l’exécution de code à distance. Vous n’avez pas besoin de comprendre le détail, retenez juste que c’est la catégorie de faille la plus dangereuse qui existe.
Votre site est-il concerné ?
Les versions touchées sont précises :
- WordPress 6.9.0 à 6.9.4 : vulnérable, corrigé en 6.9.5
- WordPress 7.0.0 à 7.0.1 : vulnérable, corrigé en 7.0.2
Bonne nouvelle si vous êtes sur une version plus ancienne : le code fautif n’existe que depuis la version 6.9, sortie en décembre 2025. Si votre site tourne sur une version antérieure, cette faille précise ne vous touche pas. Ce qui ne veut pas dire que rester sur une vieille version soit une bonne idée pour autant, au contraire.
Pour savoir ce que vous faites tourner : dans votre tableau de bord WordPress, allez dans Tableau de bord > Mises à jour, ou regardez en bas à droite de l’écran d’administration, le numéro de version y est affiché.
Le piège des mises à jour automatiques
WordPress a activé une mise à jour forcée pour pousser le correctif au maximum de sites. Sur le papier, c’est rassurant. Dans les faits, il y a un angle mort.
WordPress lui-même a reconnu ne pas savoir si cette mise à jour forcée atteint les sites qui ont désactivé les mises à jour automatiques. Or beaucoup d’agences et de développeurs les désactivent volontairement sur les sites en production, pour éviter qu’une mise à jour casse quelque chose sans prévenir.
Résultat : si vous (ou votre prestataire) avez désactivé les updates auto à un moment, ne partez pas du principe que le correctif est passé tout seul. Vérifiez manuellement votre numéro de version.
Que faire concrètement, dès maintenant
1. Mettez à jour immédiatement
C’est la seule vraie solution. Dans votre admin WordPress, allez dans Tableau de bord > Mises à jour et cliquez sur « Mettre à jour ». Vous devez être en 7.0.2 (ou 6.9.5 si vous êtes sur la branche 6.9).
Avant de cliquer, faites une sauvegarde complète de votre site. Toujours. Une mise à jour peut mal se passer, et une sauvegarde récente vous évite la catastrophe.
2. Vérifiez que la mise à jour est bien passée
Après l’update, rechargez votre admin et re-vérifiez le numéro de version. Ça paraît bête, mais une mise à jour peut échouer silencieusement, surtout sur des hébergements mutualisés capricieux.
3. Testez que rien n’est cassé
Parcourez votre site : page d’accueil, formulaire de contact, pages importantes. Une mise à jour du cœur peut parfois créer des conflits avec un thème ou un plugin ancien. Mieux vaut le repérer tout de suite.
4. Si vous ne pouvez vraiment pas mettre à jour tout de suite
Dans certains cas rares (site critique, dépendance à une vieille extension), la mise à jour immédiate est risquée. Il existe des mesures temporaires, comme bloquer l’accès anonyme à l’API REST via un pare-feu applicatif. Mais ce sont des rustines, pas des solutions. Et mal configurées, elles peuvent casser des fonctionnalités légitimes. Si vous en êtes là, faites-vous accompagner par quelqu’un qui sait ce qu’il fait.
La vraie leçon de cette histoire
wp2shell n’est pas un cas isolé. L’exploitation massive de sites WordPress est devenue une véritable industrie. Les pirates scannent le web en continu à la recherche de sites non à jour, et une faille de cette gravité, c’est un aimant.
Le problème, ce n’est pas WordPress en soi. WordPress fait tourner plus de 500 millions de sites dans le monde justement parce qu’il est solide et bien maintenu. Le problème, c’est les sites qu’on installe et qu’on oublie. Ceux dont personne ne surveille les mises à jour. Ceux où les updates auto ont été coupées « pour ne pas casser » et jamais réactivées.
Un site WordPress, ce n’est pas un meuble qu’on monte une fois. C’est une voiture : ça roule bien tant qu’on fait les révisions. Le jour où on arrête, ça finit toujours par lâcher au pire moment.
Vous ne voulez plus vous soucier de tout ça ?
Surveiller les failles, tester et appliquer les mises à jour, faire les sauvegardes, vérifier que rien n’est cassé : c’est un vrai travail, et c’est exactement ce que je fais pour les sites que je gère.
Avec mon offre de maintenance et sécurité WordPress, vous ne recevez plus ce genre d’alerte avec la boule au ventre. Quand une faille comme wp2shell sort, c’est déjà géré de mon côté, souvent avant même que vous en ayez entendu parler.
Dormez tranquille, je m’occupe de votre WordPress
Mises à jour testées, sauvegardes automatiques, surveillance des failles et intervention rapide en cas de souci. Vous vous concentrez sur votre métier, je m’occupe de votre site. Premier échange gratuit, sans engagement.
