Des failles WordPress exploitées après leur divulgation publique, des chercheurs mettent en garde contre une compromission généralisée

Des attaquants ont commencé à cibler deux vulnérabilités WordPress récemment corrigées dans les heures suivant leur divulgation, selon des chercheurs en sécurité. Exploitées ensemble, ces failles peuvent permettre une exécution de code à distance sans authentification sur des installations vulnérables, notamment des sites par défaut dépourvus de plug-ins tiers.

WordPress a publié des correctifs vendredi en fin de journée, mais l’exploitation se serait accélérée peu après. Les chercheurs ont d’abord observé des attaques visant à extraire des identifiants hachés, suivies de tentatives d’obtenir une exécution de code à mesure que davantage de détails techniques et de codes de preuve de concept devenaient disponibles.

Fonctionnement des vulnérabilités

CVE-2026-60137 est une vulnérabilité d’injection SQL de gravité modérée. CVE-2026-63030, baptisée « wp2shell » par son découvreur, est une faille critique liée à une confusion dans le traitement des routes par lots de l’API REST. Un problème de validation peut amener WordPress à ne pas faire correspondre les requêtes soumises, les résultats de validation et les gestionnaires de requêtes, permettant ainsi à des requêtes qui auraient dû être rejetées d’être traitées comme fiables.

Prises individuellement, ces vulnérabilités sont plus difficiles à exploiter. Utilisées ensemble, elles peuvent toutefois ouvrir une voie allant d’une requête non authentifiée à l’exécution de code à distance, créant des possibilités de voler des identifiants, d’installer des logiciels malveillants ou de prendre le contrôle d’un site.

Activité d’exploitation

Les chercheurs de watchTowr ont déclaré avoir enregistré des dizaines de milliers de tentatives contre des pots de miel et identifié plus de 100 comptes administrateur de porte dérobée créés à l’aide de différentes versions d’outils accessibles au public. Les attaquants ont également installé des plug-ins malveillants pour maintenir leur accès, exécuter des commandes, voler des secrets et récupérer des charges utiles supplémentaires. Dans un cas observé, un acteur a tenté de télécharger Overlord RAT, un cheval de Troie d’accès à distance basé sur Golang.

VulnCheck a indiqué avoir découvert plus de deux douzaines d’exploits de preuve de concept distincts, tandis que PatchStack a également signalé une exploitation active. Les chercheurs ont déclaré que la disponibilité de code public et la reproduction de vulnérabilités assistée par l’IA avaient réduit le seuil nécessaire au développement d’attaques.

Versions concernées et réponse

WordPress 6.9 est affecté, et la version 6.9.5 corrige les deux failles. WordPress 6.8 nécessite la version 6.8.6 pour corriger le problème d’injection SQL. WordPress 7.1 Beta 2 résout les problèmes présents dans la Beta 1 ; les versions antérieures à la 6.8 ne sont pas affectées.

WordPress a activé les mises à jour forcées pour les sites concernés. Les administrateurs doivent effectuer la mise à jour immédiatement et rechercher les comptes administrateur inconnus, les plug-ins non autorisés, les fichiers suspects et autres signes de compromission, même si les mises à jour ont déjà été installées.