Faille WordPress wp2shell : comment savoir si votre site est concerné

Un inconnu envoie une requête à votre site. Pas de mot de passe, pas de compte, pas d'extension vulnérable : il peut y exécuter du code, comme s'il était chez lui. C'est le principe de wp2shell, une faille découverte dans le coeur de WordPress, le logiciel qui fait tourner plus de quatre sites sur dix dans le monde.

Votre site, c'est votre vitrine. Cette faille, c'est la porte de l'arrière-boutique qui ne ferme plus. Voici comment savoir si la vôtre est concernée, et comment la refermer. Sans jargon et sans panique : une vérification de cinq minutes, puis une marche à suivre.

wp2shell : une faille dans le coeur de WordPress, pas dans les extensions

Depuis le 18 juillet 2026, tout est public. Deux identifiants CVE (les références officielles qui recensent les failles de sécurité), le mécanisme complet de l'attaque, et une démonstration qui fonctionne. Autrement dit : reproduire l'attaque ne demande plus de compétences rares, seulement un peu de méthode. Et dès qu'une démonstration circule, des robots parcourent le web pour repérer les sites restés vulnérables.

Ce qui distingue wp2shell des alertes habituelles, c'est son emplacement. La plupart des piratages de sites WordPress passent par une extension mal entretenue ou un mot de passe deviné. Ici, la faille vit dans le coeur du logiciel : une installation nue, zéro extension, thème d'origine, reste exploitable. Soigner la vitrine - extensions à jour, mots de passe solides - ne protège pas l'arrière-boutique.

Deux conditions délimitent le périmètre :

• votre site tourne sous WordPress 6.9 ou 7.0, sans le correctif publié depuis ;
• il utilise un cache d'objets persistant (Redis ou Memcached), une option d'accélération courante chez les hébergeurs professionnels.

Si les deux cases sont cochées, une simple requête anonyme suffit à exécuter du code sur votre serveur.

Comment savoir en 5 minutes si votre site est concerné

Pas besoin d'être informaticien. Trois vérifications :

1. Identifiez votre version de WordPress. Connectez-vous à votre tableau de bord (l'adresse de votre site suivie de /wp-admin). La version s'affiche en bas à droite de l'écran d'accueil, ou dans le menu Tableau de bord > Mises à jour. Si vous lisez 6.9 ou 7.0 et qu'aucune mise à jour de sécurité n'a été appliquée depuis la mi-juillet, votre site est dans le périmètre.

2. Vérifiez le cache d'objets. Toujours dans le tableau de bord : Outils > Santé du site > Informations. La ligne consacrée au cache d'objets persistant indique s'il est actif. En cas de doute, une question suffit à votre hébergeur : "mon site utilise-t-il Redis ou Memcached ?"

3. Si quelqu'un gère le site pour vous, demandez une confirmation écrite. Pas "on s'en occupe", mais : "le correctif wp2shell a été appliqué à telle date, voici la version installée". Une agence sérieuse répond en cinq minutes. C'est au passage un bon test de la qualité du service que vous payez.

Un point compte double : même si le cache d'objets n'est pas actif chez vous aujourd'hui, mettez à jour quand même. Un changement d'offre d'hébergement peut l'activer demain sans que personne y pense.

Ce que coûte réellement un site piraté

Prenons un scénario représentatif de ce que nous observons. Une entreprise de services de douze personnes. Son site vitrine génère l'essentiel de ses nouveaux contacts : une quinzaine de demandes de devis par mois.

Le site est compromis en août, pendant la fermeture estivale. Personne ne s'en aperçoit : les attaquants ne défigurent rien, ils installent discrètement des pages de phishing et un relais d'envoi de spam. Début septembre, Google détecte le problème et affiche un avertissement rouge aux visiteurs : "Ce site peut avoir été piraté."

L'addition, sur ce type de dossier :

• nettoyage et remise en état par un prestataire : entre 1 500 et 5 000 euros selon la profondeur de la compromission ;
• trois à quatre semaines d'avertissement Google, le temps du nettoyage et de la levée du signalement : une quinzaine de demandes de devis qui ne rentrent pas ;
• des emails professionnels qui atterrissent en spam pendant des semaines, parce que le nom de domaine a servi à des envois frauduleux.

En face, le correctif : une mise à jour de quelques minutes, précédée d'une sauvegarde. Le rapport entre les deux colonnes se passe de commentaire.

La marche à suivre pour fermer la porte

Dans l'ordre, sans étape superflue :

1. Sauvegardez avant tout. Une copie complète du site (fichiers et base de données), stockée ailleurs que sur le serveur lui-même. Votre hébergeur propose généralement cette fonction en un clic.

2. Appliquez la mise à jour de sécurité. Depuis le tableau de bord, menu Mises à jour, installez la version corrigée publiée par l'équipe WordPress. L'opération prend quelques minutes sur la plupart des sites.

3. Cherchez les traces d'une visite. La faille est publique depuis la mi-juillet : si votre site est resté vulnérable plusieurs semaines, vérifiez trois choses. Des comptes administrateurs que vous ne reconnaissez pas (menu Utilisateurs). Des extensions que personne n'a installées. Des fichiers modifiés récemment alors que personne n'a touché au site.

4. Activez les mises à jour automatiques de sécurité. WordPress sait appliquer seul les correctifs mineurs. C'est le réglage qui transforme la prochaine alerte en non-événement.

5. En cas de doute, faites analyser avant de conclure. C'est le piège principal : mettre à jour ferme la porte, mais ne fait pas sortir celui qui est déjà entré. Un site compromis puis mis à jour reste compromis. Si vous trouvez un compte inconnu ou un fichier suspect, une analyse professionnelle s'impose avant de tourner la page.

Les idées reçues qui laissent la porte ouverte

"Mon site est trop petit pour intéresser un pirate." Les attaques de ce type ne ciblent personne : des robots balaient le web entier et frappent tout ce qui répond. Un site de dix pages a la même valeur qu'un site de dix mille : un serveur qui exécute du code.

"Je n'ai presque pas d'extensions, je ne risque rien." C'est précisément ce que wp2shell dément : la faille vit dans le coeur du logiciel. L'arrière-boutique a sa propre porte, indépendante de la vitrine.

"Mon agence s'en occupe sûrement." Peut-être. La confirmation écrite coûte un email et lève le doute. L'absence de réponse est aussi une information.

Profiter de l'été pour vérifier la serrure

L'été, beaucoup d'entreprises baissent le rideau quelques semaines. L'activité ralentit, les regards se détournent des écrans : c'est la période que ce genre de scénario préfère, et c'est aussi le bon moment pour prendre trente minutes, vérifier votre version de WordPress et appliquer le correctif.

Si vous préférez qu'on regarde ensemble - version, cache, traces éventuelles, mises à jour automatiques - c'est une conversation courte et sans engagement : prendre rendez-vous.

Vous pourrez alors fermer la vitrine pour les vacances en sachant que l'arrière-boutique, elle, ferme à clé.