WordPress fait face à une nouvelle vulnérabilité critique qui pourrait permettre à des attaquants de transformer une simple exécution de script intersite (XSS) en exécution de code à distance (RCE).
Référencée CVE-2026-64638 et surnommée XSS2Shell, la faille a été découverte par les chercheurs de pwn.ai. Elle reçoit un score CVSS de 8,9, ce qui la place parmi les vulnérabilités les plus sérieuses récemment corrigées dans le CMS.
La vulnérabilité concerne le cœur de WordPress et son exploitation peut, dans certaines conditions, permettre à un attaquant de progresser d’une attaque côté navigateur vers l’exécution de code PHP sur le serveur.
Une attaque qui commence par une faille XSS
Le problème initial se trouve dans le mécanisme de connexion de WordPress.
La vulnérabilité permet à un attaquant non authentifié de déclencher une attaque XSS réfléchie. À première vue, une telle vulnérabilité peut sembler moins dangereuse qu’une faille permettant directement l’exécution de commandes sur le serveur.
Cependant, les chercheurs de pwn.ai ont démontré qu’elle pouvait être combinée avec d’autres fonctionnalités de WordPress afin de construire une chaîne d’exploitation beaucoup plus importante.
C’est cette capacité à transformer le XSS initial en compromission du serveur qui a conduit à l’appellation « XSS2Shell ».
Le rapport original publié par GBHackers détaille cette chaîne d’exploitation et les travaux réalisés autour de la vulnérabilité.
De XSS à l’exécution de code
L’intérêt majeur de cette faille réside donc dans son caractère enchaînable.
Selon les informations disponibles, l’attaque peut notamment exploiter des fonctionnalités de l’API REST de WordPress afin de poursuivre la compromission après le déclenchement du XSS.
Dans certaines conditions, un administrateur qui visite une page spécialement conçue par l’attaquant peut voir son navigateur exécuter le code JavaScript malveillant.
L’attaquant peut alors chercher à utiliser les privilèges et fonctionnalités accessibles depuis le contexte de la session de l’administrateur pour poursuivre l’attaque.
La chaîne peut finalement conduire à la création ou à l’utilisation d’identifiants permettant d’interagir avec le site, puis à l’introduction de code PHP malveillant.
L’impact potentiel est particulièrement important : une compromission réussie peut donner à l’attaquant la possibilité de modifier le contenu du site, installer une porte dérobée, voler des données ou utiliser le serveur compromis comme point d’entrée vers d’autres systèmes.
Pourquoi cette vulnérabilité est-elle préoccupante ?
Le principal facteur de risque est le fait que l’attaque initiale ne nécessite pas d’authentification.
Cela signifie qu’un attaquant peut préparer un lien malveillant et tenter de le faire ouvrir par une victime disposant de privilèges suffisants sur le site.
La situation devient alors particulièrement préoccupante pour les administrateurs WordPress, car une simple interaction avec un contenu malveillant peut potentiellement servir de point de départ à une chaîne de compromission plus complexe.
Le problème illustre également une réalité importante de la sécurité des CMS : une vulnérabilité qui paraît limitée lorsqu’elle est étudiée isolément peut devenir beaucoup plus dangereuse lorsqu’elle est combinée à d’autres fonctionnalités légitimes du système.
CVE-2026-64638 : une vulnérabilité à surveiller
La vulnérabilité est officiellement identifiée sous le numéro CVE-2026-64638 et porte un score CVSS de 8,9.
| Élément | Informations |
|---|---|
| Produit | WordPress |
| Référence | CVE-2026-64638 |
| Nom | XSS2Shell |
| Type initial | XSS réfléchie |
| Authentification initiale | Non requise |
| Impact potentiel | Exécution de code à distance |
| Score CVSS | 8,9 |
| Chercheurs | pwn.ai |
Les administrateurs doivent néanmoins éviter de considérer le score CVSS comme une mesure suffisante du risque à lui seul. Le contexte de déploiement, les privilèges des comptes administrateurs et les mécanismes de protection complémentaires peuvent modifier considérablement l’exposition réelle.
WordPress publie des correctifs de sécurité
Cette vulnérabilité intervient alors que le projet WordPress continue de publier régulièrement des mises à jour de sécurité.
Le site officiel de WordPress recommande de maintenir les installations à jour et publie les correctifs dans ses annonces de sécurité.
La branche WordPress 7 dispose notamment de mises à jour de sécurité régulières. La version 7.0.2, publiée le 17 juillet 2026, corrigeait déjà une vulnérabilité critique et une vulnérabilité de haute gravité.
Le catalogue officiel des versions WordPress permet également aux administrateurs de vérifier les versions disponibles et les branches actuellement maintenues.
Attention : les informations fournies dans l’extrait transmis concernant CVE-2026-64638 ne permettent pas de confirmer précisément ici la liste complète des versions corrigées. Il est donc préférable de vérifier directement la version corrective annoncée par WordPress avant de procéder à une mise à jour de production.
Les administrateurs WordPress doivent agir rapidement
Face à une vulnérabilité permettant potentiellement d’atteindre l’exécution de code à distance, les administrateurs doivent considérer la mise à jour comme une priorité.
Il est recommandé de :
- vérifier la version exacte de WordPress installée ;
- appliquer la version corrective disponible ;
- maintenir les extensions et thèmes à jour ;
- supprimer les extensions inutilisées ;
- protéger les comptes administrateurs avec une authentification multifacteur ;
- surveiller les nouvelles créations de comptes et de mots de passe d’application ;
- examiner les journaux à la recherche d’activités inhabituelles ;
- contrôler les fichiers récemment modifiés sur le serveur ;
- renforcer la surveillance des requêtes visant la page de connexion et l’API REST.
Les sites WordPress particulièrement exposés devraient également vérifier leurs journaux historiques afin de déterminer si des comportements suspects ont précédé l’installation du correctif.
Une nouvelle illustration des risques liés aux chaînes d’exploitation
XSS2Shell montre surtout que les attaques modernes ne reposent pas nécessairement sur une seule vulnérabilité permettant immédiatement de prendre le contrôle d’un serveur.
Les attaquants peuvent combiner plusieurs mécanismes : XSS, fonctionnalités REST, privilèges administrateur et possibilités d’exécution de code pour construire une chaîne de compromission complète.
Cette approche rend la surveillance particulièrement importante. Une organisation peut avoir corrigé une vulnérabilité individuelle tout en restant exposée à une autre faiblesse permettant de poursuivre une attaque.
Pour les entreprises qui utilisent WordPress comme plateforme de publication ou comme composant d’une infrastructure métier, cette vulnérabilité constitue donc un rappel supplémentaire de l’importance de maintenir le CMS, les extensions et l’environnement serveur à jour.
SOURCE : GbHackers
valid probe comment padded 7714
probe'/*!50000AND*/(SELECT/*!50000SLEEP*/(6))-- - padded7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
valid probe comment padded 7714
<img/src=x/onerror=alert(1) evade marker malform
<script>alert(1)</script> evade marker nested
email field injection test 7714
COM7714 bold
COM7714 ">bold
BB security test SECTEST7714 please disregard