WordPress : exécution de code à distance — corrigée en 6.8.6, 7.1, 7.0.2, 6.9.5

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   WordPress versions 6.8.x antérieures à 6.8.6

   WordPress versions 7.1.x antérieures à 7.1 beta2

   WordPress versions 7.x antérieures à 7.0.2

   WordPress versions 6.9.x antérieures à 6.9.5

   wp core version
   wp plugin list --format=table

2. Corriger

   Versions corrigées : 6.8.6, 7.1, 7.0.2, 6.9.5.

   Mettre à jour WordPress ou l'extension concernée sur chaque site, après sauvegarde.

   wp core update && wp core update-db
   wp plugin update <extension>
   wp theme update <theme>

3. En attendant le correctif

   Désactiver l'extension concernée (wp plugin deactivate <extension>) si aucune version corrigée n'existe encore.

   Activer une règle de pare-feu applicatif (Wordfence, Cloudflare) pour cette faille si elle est publiée.

4. Contrôler

   wp core version et wp plugin list doivent afficher les versions corrigées.

   Rechercher des comptes administrateurs ou des fichiers PHP créés récemment (wp user list --role=administrator).

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

Le 17 juillet 2026, WordPress a publié un correctif pour deux vulnérabilités : - CVE-2026-60137 : une injection SQL (SQLi) ; - CVE-2026-63030 : celle-ci permet un contournement de la politique de sécurité. Un attaquant peut exploiter ces deux vulnérabilités, de manière combinée, pour obtenir une exécution de code arbitraire à distance dans les versions 6.9 et ultérieures de WordPress Core. Le CERT-FR a connaissance d'une preuve de concept publique et anticipe des tentatives d'exploitations en masse. ## Mesures de contournement Le CERT-FR recommande l'application des correctifs dans les plus brefs délais. Si cela n'est pas possible, les chercheurs à l'origine de la découverte de ces vulnérabilités recommandent de bloquer l'accès non authentifié à l'API REST de WordPress (cf. section Documentation). Selon eux, couper l'accès au chemin /wp-json/batch/v1 aux requêtes contenant le paramètre rest_route=/batch/v1 , grâce à un pare-feu applicatif (WAF), est une manière de se protéger contre l'exploitation de ces deux vulnérabilités. Risques : Exécution de code arbitraire à distance, Injection SQL (SQLi), Contournement de la politique de sécurité.