L’exploitation combinée de deux vulnérabilités permet de prendre le contrôle de certains sites basés sur WordPress. La gravité de la faille fait craindre des tentatives d'exploitation en masse.
En plein dans l’été, ça va être « la boucherie », s’inquiète un internaute de la communauté de l’hébergeur OVHcloud. La nouvelle faille dans le très populaire système de gestion de contenus WordPress, baptisée « wp2shell », suscite en effet d’importantes craintes. Par la voix de son centre de veille et de réponse à incidents, le Cert-FR, le cyberpompier français vient ainsi de prévenir qu’il anticipait « des tentatives d'exploitations en masse ».
Un avertissement doublé par le groupement d’intérêt public Cybermalveillance, qui a lui lancé une « AlerteCyber ». « Des cybercriminels pourraient très prochainement exploiter ces failles pour conduire des attaques massives contre les systèmes vulnérables », avertit ainsi la structure dans un communiqué.
Il existe pourtant déjà des correctifs qui permettent de se protéger avec une première mise à jour publiée le 17 juillet. « Une grande partie des wordpress ont été automatiquement mis à jour par le process interne de mise à jour automatique », constate sur le forum OVHcloud l’un des responsables du célèbre de Roubaix.
Reste toutefois tous ceux qui avaient désactivé cette fonctionnalité. Pour ces derniers, OVHcloud a appliqué un filtrage des accès pour « réduire au maximum l'exploitation de la CVE ». Une faille jugée « exceptionnelle de par sa portée », car « il est rare d'en voir dans le core de WordPress directement », précise ce salarié d’OVHcloud.
Cette vulnérabilité a été découverte par Adam Kues, un expert de l’entreprise britannique Searchlight Cyber. Concrètement, « wp2shell » renvoie à l’exploitation combinée de deux vulnérabilités. La première, CVE-2026-63030, est une faille de confusion de route. Il s’agit « de faire passer une requête vers un gestionnaire non destiné à la recevoir et de contourner le contrôle d'authentification », détaille le Cert Santé.
La seconde, CVE-2026-60137, est une faille par injection SQL, pour obtenir une exécution de code arbitraire sur un serveur. Résultat : « un attaquant peut exploiter ces deux vulnérabilités pour obtenir une exécution de code arbitraire à distance dans les versions 6.9 et ultérieures de WordPress Core », résume le Cert-FR.
Une fois le loup dans la bergerie, il est alors possible pour l’attaquant d’extraire des informations sensibles, par exemple les comptes utilisateurs, des condensats de mot de passe ou encore des contenus privés, énumère l’entreprise française de cybersécurité Own.
L’attaquant peut également s’ouvrir des droits administrateurs, prévient enfin la société. Pour derrière « installer de nouveaux plugins, déposer des fichiers type webshell afin d’obtenir un accès sur le serveur où WordPress est déployé ».
L’entreprise britannique à l’origine de la découverte de la faille a mis en place un portail pour vérifier si son site est concerné. Trop tard pour cet administrateur qui cherche à s’aviser, sur un forum de la communauté wordpress francophone, de la méthode pour recommencer un site suite à un piratage. Vraisemblablement à la suite de « wp2shell », précise-t-il…
Le parti d’extrême-droite a vu son site internet défacé et le compte X de sa candidate détourné pour la promotion d’un jeton crypto.
Outre de nouvelles révélations dans la presse, le Security Lab d’Amnesty international vient de publier un rapport faisant le point sur ce qu’on sait aujourd’hui des capacités d’intrusion du logiciel espion.
Six cybercriminels et deux militaires : le profil de ces huit russes rappelle la forte imbrication entre espions et pirates à Moscou.
Plus d’un an après l’arrivée d’un nouveau président, le lieu totem de la cybersécurité française fait un bilan d’étape.
Windows intègre Microsoft Defender par défaut. Suffit-il face aux virus, au phishing et aux ransomwares, ou faut-il un antivirus tiers ?
Les tablettes Android sont bien protégées, mais aucun appareil mobile n’est totalement à l’abri. Un bon antivirus reste l’un des meilleurs moyens d’éviter les infections.
Un ordinateur sans antivirus, c'est un peu comme laisser sa porte d'entrée ouverte en partant au travail. Les conséquences peuvent en effet être sérieuses : fichiers chiffrés par un ransomware, données bancaires aspirées via une tentative de phishing, ou simple ralentissement qui cache en réalité un logiciel malveillant installé depuis des semaines. Ces dernières années, le marché des logiciels antivirus s’est profondément transformé : certains acteurs ont fusionné, les offres se sont complexifiées, et les menaces n’ont jamais été aussi sophistiquées. En 2026, comment s'y retrouver ? Faut-il encore payer, ou les versions gratuites suffisent-elles vraiment ? Est-ce que Bitdefender écrase la concurrence, ou Norton tient-il toujours la route face à Kaspersky, Avast, Avira et AVG ? Ce guide répond à toutes ces questions, sans détour et avec des informations concrètes.
Votre téléphone Android en sait plus sur vous que n'importe qui. Contacts, photos, applications bancaires, mots de passe enregistrés, accès professionnels. Et pourtant, la grande majorité des utilisateurs ne l'ont jamais protégé. Les menaces sur Android ont bien évolué : des logiciels malveillants ont réussi à passer les filtres du Google Play Store ces dernières années, les arnaques par SMS ciblées explosent, et les trojans bancaires se déguisent en applications parfaitement anodines.
Ces sésames générés par l'intelligence artificielle sont-ils vraiment aléatoires ? Des études indiquent que ces combinaisons ainsi créées sont bien moins sûres qu'on pourrait le croire.
Cette forme d’hameçonnage par QR code se développe en prenant différentes formes. Voici comment les repérer et éviter d'en être victime.
Apprenez à repérer les signes indiquant que votre compte est surveillé ou piraté, et reprenez le contrôle.
