Faille WordPress : comment savoir si votre site est piraté ?

Votre site WordPress héberge peut-être un invité que personne n'a convié. Il ne sonne pas, il n'a pas besoin de clé, et une fois entré, il pose ses valises pour de bon.

Cet invité s'appelle wp2shell. Derrière ce nom : deux failles de sécurité du coeur de WordPress (CVE-2026-63030 et CVE-2026-60137) qui, combinées, permettent à un attaquant de prendre le contrôle d'un site sans aucun mot de passe. Les chercheurs de Wiz observent des attaques bien réelles, pas un scénario de laboratoire : des serveurs compromis, avec des accès cachés déposés pour durer.

Si votre entreprise possède un site vitrine, une boutique en ligne ou un blog sous WordPress, voici comment vérifier si vous êtes concerné, comment fermer la porte, et comment repérer les traces d'un éventuel passage.

wp2shell : comment un inconnu entre sans clé

WordPress fait tourner plus de 40 % des sites web dans le monde. Cette popularité a un revers : chaque faille découverte devient immédiatement une porte d'entrée testée sur des millions de sites, de façon automatisée.

La plupart du temps, les failles touchent des extensions (les fameux plugins). Cette fois, c'est différent : les deux vulnérabilités se trouvent dans le coeur de WordPress lui-même. Autrement dit, un site parfaitement entretenu côté extensions peut être vulnérable quand même.

Le scénario observé par Wiz se déroule en deux temps. La première faille permet à l'attaquant d'entrer sans s'authentifier : pas de mot de passe à deviner, pas de compte à voler. La seconde lui permet d'exécuter du code sur le serveur. Une fois dans la place, il dépose ce qu'on appelle un webshell : un petit fichier caché qui lui sert de double des clés. Même si vous changez tous vos mots de passe, même si vous appliquez le correctif après coup, ce double des clés continue de fonctionner.

C'est ce qui rend cette affaire sérieuse : il ne suffit pas de fermer la porte, il faut aussi vérifier que personne n'est déjà installé dans le salon.

Vérifier en 5 minutes si votre site est concerné

Pas besoin d'être informaticien pour faire ce premier contrôle.

1. Connectez-vous à l'administration de votre site (l'adresse se termine généralement par /wp-admin).
2. Ouvrez le menu Tableau de bord, puis Mises à jour. La version de WordPress installée s'affiche en haut de page.
3. Si une mise à jour de sécurité est proposée, votre site n'est pas à jour : il est potentiellement vulnérable.
4. Si votre site est géré par une agence ou un prestataire, posez-lui la question par écrit : "Notre site est-il protégé contre les failles CVE-2026-63030 et CVE-2026-60137 ?" Une réponse précise doit arriver dans la journée.

Un piège classique : beaucoup de sites vitrines ont été livrés il y a des années, puis plus personne n'y a touché. Les mises à jour automatiques sont parfois désactivées par le développeur pour éviter qu'une mise à jour ne casse le thème graphique. Résultat : le site fonctionne, il a l'air en bonne santé, mais sa serrure date de plusieurs générations de cambrioleurs.

Si vous ne savez pas qui gère votre site, c'est en soi une information importante : elle signifie que personne ne le protège.

Appliquer le correctif, ou la parade en attendant

La réponse de fond tient en une action : mettre à jour WordPress vers la dernière version publiée par l'équipe de sécurité.

Dans l'ordre :

1. Faites une sauvegarde complète du site (fichiers et base de données) avant toute manipulation. Votre hébergeur propose généralement cette option en un clic.
2. Lancez la mise à jour du coeur de WordPress depuis le menu Mises à jour.
3. Profitez-en pour mettre à jour les extensions et le thème, et pour supprimer ceux que vous n'utilisez plus : chaque extension inactive est une fenêtre de plus à surveiller.
4. Réactivez les mises à jour automatiques de sécurité si elles ont été coupées.

Si vous ne pouvez pas mettre à jour tout de suite (site ancien, compatibilité à vérifier, prestataire en congés), il existe une parade temporaire : un pare-feu applicatif. Certains hébergeurs et services comme Cloudflare ont déjà publié des règles qui bloquent les tentatives d'exploitation de wp2shell. C'est une porte blindée posée devant une serrure fragile : utile pour tenir quelques jours, pas pour passer l'année.

Dernier point, le plus souvent oublié : le correctif empêche les nouvelles intrusions, il n'expulse pas un invité déjà installé. D'où l'étape suivante.

Quatre traces qui trahissent un passage

Voici quatre signes concrets, vérifiables sans compétence technique poussée ou avec l'aide de votre hébergeur.

1. Des fichiers PHP dans le dossier des médias. Le dossier wp-content/uploads ne doit contenir que des images, des PDF, des vidéos. Un fichier en .php à cet endroit n'a rien à y faire : c'est la cachette préférée des webshells.
2. Un compte administrateur que personne ne reconnaît. Ouvrez le menu Utilisateurs et passez en revue les comptes ayant le rôle Administrateur. Chaque compte doit correspondre à une personne identifiable. Un nom générique créé récemment mérite une vérification immédiate.
3. Des fichiers du coeur modifiés récemment. Votre hébergeur peut lister les fichiers modifiés au cours des dernières semaines. Si des fichiers système de WordPress ont changé en dehors d'une mise à jour officielle, quelqu'un y a touché.
4. Un comportement anormal du site. Emails signalés comme spam au nom de votre domaine, redirections vers des sites inconnus, alerte "site trompeur" dans Google Search Console, serveur soudainement lent : autant d'indices que le site travaille pour quelqu'un d'autre.

Si vous cochez un seul de ces signes, ne supprimez rien vous-même : les traces servent aussi à comprendre l'étendue du passage. Faites appel à un professionnel pour le nettoyage.

Ce que coûte un invité qui s'installe : un exemple chiffré

Prenons un cas courant. Une boutique en ligne réalise 300 000 euros de chiffre d'affaires annuel, soit environ 800 euros par jour. Le site est compromis mi-août, pendant que tout le monde est en congés. L'attaquant l'utilise discrètement pour envoyer du spam et héberger des pages frauduleuses.

Trois semaines plus tard, à la rentrée, Google a classé le site comme dangereux : les visiteurs voient un écran rouge d'avertissement. Le bilan type de ce scénario :

• nettoyage du site par un spécialiste : entre 2 000 et 5 000 euros ;
• ventes perdues pendant les dix jours nécessaires pour sortir de la liste noire de Google : environ 8 000 euros ;
• référencement dégradé pendant plusieurs semaines, le temps que la confiance des moteurs de recherche revienne.

Plus de 10 000 euros et un mois de tracas, face à une mise à jour qui prend un quart d'heure, sauvegarde comprise. La différence entre les deux ne tient pas à la chance : elle tient à qui a vérifié la serrure avant de partir en vacances.

La checklist de l'été pour une rentrée sans passager clandestin

L'été est le bon moment pour ce genre de vérification : l'activité ralentit, on a enfin le recul pour s'occuper de ce qui est important sans être urgent. Depuis un transat s'il le faut :

• mettre à jour WordPress, les extensions et le thème ;
• supprimer les extensions et thèmes inutilisés ;
• activer les mises à jour automatiques de sécurité ;
• passer en revue les comptes administrateurs et retirer ceux qui ne servent plus ;
• noter qui, dans votre entreprise ou chez votre prestataire, est responsable de ces mises à jour : un site sans responsable est un site sans serrurier ;
• vérifier que vos sauvegardes existent et qu'elles se restaurent vraiment : ce sera justement le sujet de notre prochain article.

Et si on regardait ensemble ?

Si vous ne savez pas dans quel état se trouve votre site, ou si personne dans votre entreprise n'a le temps de s'en occuper, c'est exactement le genre de vérification que nous menons pour nos clients : contrôle des versions, recherche de traces, mise en place des mises à jour automatiques et de la surveillance.

Prenez rendez-vous pour en parler : https://autens.ai/rdv. Trente minutes suffisent pour savoir si votre site héberge un invité de trop.

Lui ne prend pas de vacances. Mais avec la porte fermée à clé, il passera la rentrée sur le paillasson.