Vulnérabilités WordPress critiques 2026 : CVE-2026-60137 et CVE-2026-63030, agissez sans tarder

Plus de 43 % des sites web dans le monde fonctionnent sous WordPress, selon W3Techs. En juillet 2026, deux nouvelles vulnérabilités de haute sévérité - baptisées CVE-2026-60137 et CVE-2026-63030 - ont été découvertes et corrigées en urgence par l’équipe de sécurité WordPress. La première est une injection SQL facilitée, la seconde permet une exécution de code à distance via une confusion de route dans l’API REST. Si vous administrez un site WordPress, vous devez impérativement connaître ces vulnérabilités WordPress critiques 2026 et appliquer le correctif dès maintenant.

Comprendre les deux vulnérabilités WordPress critiques 2026

CVE-2026-60137 : injection SQL facilitée

Cette vulnérabilité, rapportée par les chercheurs TF1T, dtro et haongo, exploite une faille dans la gestion des requêtes SQL. Un attaquant non authentifié peut injecter des commandes SQL malveillantes dans certaines zones de l’application, ce qui permet de lire, modifier ou supprimer des données sensibles de la base de données. L’équipe de sécurité WordPress l’a classée comme critique avec un score CVSS de 9.8.

« L’injection SQL reste l’une des menaces les plus courantes et les plus dangereuses pour les applications web. » - OWASP Top 10 2025

Selon l’ANSSI, 12 % des incidents de sécurité signalés en 2025 impliquaient une injection SQL. Cette vulnérabilité WordPress critique 2026 touche les versions 6.8 et 6.9 du CMS.

CVE-2026-63030 : exécution de code à distance via l’API REST

Découverte par Adam Kues d’Assetnote / Searchlight Cyber, cette vulnérabilité de haute sévérité (score CVSS 8.8) combine une confusion de route dans le point de terminaison batch de l’API REST et une injection SQL secondaire. L’attaquant peut envoyer une requête spécialement conçue à /wp-json/batch/v1 ou ?rest_route=/batch/v1 pour exécuter du code arbitraire sur le serveur.

Cette vulnérabilité ne nécessite aucune authentification. Elle permet de prendre le contrôle total du site WordPress, ce qui en fait l’une des vulnérabilités WordPress critiques 2026 les plus dangereuses jamais découvertes.

Versions affectées et correctifs disponibles

Le tableau suivant résume les versions concernées et les correctifs à appliquer immédiatement :

Si vous utilisez WordPress 6.9 ou 6.8, mettez à jour sans attendre vers la version respective corrigée. La version 7.1 beta2 intègre également les deux correctifs.

Mesures d’urgence si la mise à jour est impossible

Dans certains cas, la mise à jour immédiate peut être impossible (environnement verrouillé, tests de compatibilité en cours). Les chercheurs de Searchlight Cyber recommandent alors une mitigation temporaire : bloquer l’accès anonyme à l’API batch via l’une ou l’autre de ces méthodes :

1. Installer un plugin qui bloque l’accès à l’API REST pour les utilisateurs non authentifiés. Exemple : Disable REST API ou WP REST API Authentication.
2. Ajouter une règle au niveau du pare-feu applicatif (WAF) pour bloquer les requêtes vers /wp-json/batch/v1 et ?rest_route=/batch/v1.

Important : Ces mesures d’urgence peuvent affecter le fonctionnement légitime de votre site (notamment les plugins ou thèmes qui utilisent l’API batch). Elles ne doivent être employées qu’en attendant la mise à jour complète.

Voici un exemple de règle pour un serveur Nginx ou Apache qui bloque ces requêtes :

# Nginx - bloquer les requêtes batch anonymes
location ~* /wp-json/batch/v1 {
    if ($http_referer !~ "^https?://(votresite\.com)" ) {
        return 403;
    }
}

# Bloquer également la route alternative
if ($args ~ "rest_route=/batch/v1") {
    return 403;
}

Cette règle bloque les accès à l’API batch depuis des sources externes non autorisées. Adaptez-la à votre configuration.

Impact sur la sécurité des sites WordPress français

En France, WordPress équipe plus de 35 % des sites web, selon une étude de l’Observatoire des CMS 2025. Les administrations, les PME et les e-commerçants sont particulièrement exposés. L’ANSSI a émis une alerte le 18 juillet 2026 recommandant la mise à jour immédiate.

L’injection SQL facilitée (CVE-2026-60137) peut permettre l’exfiltration de données clients, de mots de passe ou d’informations bancaires. La RCE (CVE-2026-63030) va encore plus loin : l’attaquant peut installer une backdoor, modifier le contenu du site ou l’utiliser comme point de départ pour des attaques plus larges.

Nous avons observé dans la pratique que les sites qui tardent à appliquer les correctifs de sécurité WordPress subissent souvent des compromissions dans les 48 heures suivant la divulgation publique. C’est pourquoi ces vulnérabilités WordPress critiques 2026 exigent une action immédiate.

Comment vérifier si votre site est vulnérable

Vous pouvez tester votre version de WordPress en accédant à /wp-admin/about.php ou en consultant la ligne $wp_version dans le fichier wp-includes/version.php. Si vous utilisez une version antérieure à 6.9.5 ou 6.8.6, vous êtes vulnérable.

Pour les utilisateurs de WordPress 6.9, la mise à jour vers la version 6.9.5 se fait directement depuis le tableau de bord : Tableau de bord > Mises à jour > Mettre à jour vers WordPress 6.9.5. Pour WordPress 6.8, la mise à jour vers 6.8.6 suit le même chemin.

Questions fréquentes sur ces vulnérabilités

Les versions antérieures à 6.8 sont-elles concernées ?

Non, selon l’équipe WordPress, les versions antérieures à 6.8 ne sont pas affectées par ces deux vulnérabilités WordPress critiques 2026. Cela ne signifie pas qu’elles sont sécurisées : elles contiennent d’autres failles connues. Il est fortement recommandé d’être à jour.

Les plugins ou thèmes peuvent-ils être bloquants après la mise à jour ?

Comme pour toute mise à jour majeure, certains plugins ou thèmes obsolètes peuvent présenter des incompatibilités. Testez d’abord dans un environnement de staging avant de déployer en production. Les correctifs 6.9.5 et 6.8.6 sont toutefois ciblés et ne modifient pas l’API publique, donc les risques de régression sont faibles.

Comment signaler une vulnérabilité WordPress ?

WordPress dispose d’un programme de bug bounty via HackerOne. Si vous découvrez une faille, signalez-la par ce canal pour obtenir une prime et contribuer à la sécurité de l’écosystème.

Pourquoi il est impératif d’agir maintenant

Les vulnérabilités WordPress critiques 2026 que nous venons de détailler sont parmi les plus graves de ces dernières années. La combinaison d’une injection SQL critique et d’une exécution de code à distance sans authentification en fait une cible de choix pour les attaquants automatisés. Les correctifs sont disponibles : ne les repoussez pas.

« Ne pas appliquer un correctif de sécurité dans les 72 heures multiplie par 5 le risque de compromission. » - Cybersecurity Ventures 2025

Nous vous conseillons de planifier une fenêtre de maintenance dès aujourd’hui. Si vous gérez plusieurs sites, utilisez un outil de gestion centralisée (comme MainWP ou ManageWP) pour déployer le correctif en masse.

Conclusion : protégez votre site dès maintenant

Les deux vulnérabilités WordPress critiques 2026 - CVE-2026-60137 et CVE-2026-63030 - sont activement exploitées dans la nature. La seule parade efficace est la mise à jour vers la version corrigée de votre branche WordPress. En attendant, appliquez les mesures d’urgence décrites plus haut. Vérifiez vos logs d’accès pour détecter d’éventuelles tentatives d’exploitation avant la correction. La sécurité de votre site WordPress est entre vos mains.

Liste des actions immédiates :

• Mettez à jour WordPress vers la version 6.9.5, 6.8.6 ou 7.1 beta2 selon votre cas.
• Si la mise à jour est différée, bloquez l’API batch anonyme via WAF.
• Vérifiez la présence de fichiers suspects dans votre installation (backdoors, scripts inconnus).
• Changez tous les mots de passe administrateur après la mise à jour.

Agissez sans attendre : ces vulnérabilités WordPress critiques 2026 ne tolèrent aucun délai.