Une faille critique (CVE-2026-60137 & CVE-2026-63030) est exploitée massivement.
Nous avons découvert 6 comptes hackers sur un même site
Le cas concret que nous venons de traiter
Nous sommes le 6 aout 2026. notre client nous contacte : il n’arrive plus à se connecter à son site. Lorsqu’on ouvre le capot, on découvre l’horreur.
Le hacker est passé. Et il ne s’est pas gêné. Voici ce qu’on a trouvé dans son tableau de bord :
- 6 comptes administrateurs pirates (nommés
w2s_778146c0a706,w2s_40082e7cd6cb, etc.). - 4 backdoors différentes installées dans le dossier des plugins (
wp2shell,site-tweaks,core-helper). - Des portes dérobées qui permettaient au hacker de revenir à tout moment, même si l’administrateur légitime changeait son mot de passe.
Les 6 comptes que nous avons supprimés :
| ID | Identifiant pirate | Email associé |
|---|---|---|
| 4 | w2s_778146c0a706 | w2s_…@wp2shell.local |
| 5 | w2s_40082e7cd6cb | w2s_…@wp2shell.local |
| 6 | w2s_73d8abf2c5b0 | w2s_…@wp2shell.local |
| 7 | w2s_25a024a03315 | w2s_…@wp2shell.local |
| 8 | w2s_131848288278 | w2s_…@wp2shell.local |
| 9 | w2s_646d4e4481b6 | w2s_…@wp2shell.local |
Et ceci n’est qu’UN cas, sur UN site.
Vous pourriez être en train d’héberger des pirates sans le savoir.
Si vous gérez un site WordPress, prenez cinq minutes pour lire ceci.
Le 17 juillet 2026, les équipes de WordPress ont publié des correctifs d’urgence pour deux failles critiques : CVE-2026-60137 et CVE-2026-63030. Combinées, elles forment une attaque appelée wp2shell. Concrètement, un hacker peut prendre le contrôle total de votre site sans même avoir besoin de votre mot de passe. Il suffit d’une simple requête API malveillante pour exécuter du code à distance. Le nettoyage du WordPres est documenté sur le site de Web Marketing Bordeaux
Mais le vrai danger n’est pas la faille elle-même. C’est l’inaction.
Pourquoi votre site est-il concerné?
Les versions vulnérables sont :
- WordPress 6.8.x (versions < 6.8.6)
- WordPress 6.9.x (versions < 6.9.5)
- WordPress 7.0.x (versions < 7.0.2)
Si vous avez installé WordPress en « mise à jour automatique » sans surveillance, vous êtes peut-être en sécurité. Mais l’écrasante majorité des hébergements laisse cette mise à jour à la charge du client… ou l’automatise sans test préalable, risquant de faire planter le site.
Comment vérifier si vous êtes infecté en 2 minutes ?
Pas besoin d’être développeur. Voici ce que vous devez vérifier tout de suite :
- Votre version de WordPress : Allez dans le tableau de bord > « À propos de WordPress ». Si vous êtes en 6.9.4 ou 6.8.5, vous êtes en danger.
- Les comptes utilisateurs : Allez dans Utilisateurs > Tous les utilisateurs. Regardez s’il y a des comptes bizarres contenant
w2s_ou des adresses en@wp2shell.local. - Les plugins installés : Allez dans Extensions. Cherchez des dossiers avec des noms aléatoires suivis de tirets et de chiffres (ex:
-1ff4ac9c8f51,-a115a1de00). Si vous ne les avez pas installés vous-même, supprimez-les immédiatement.
Que faire si vous trouvez ces signes ?
Si vous êtes infecté :
- Ne touchez pas à tout sans précaution : Si vous supprimez juste le plugin sans nettoyer la base de données, le compte pirate peut rester.
- Changez IMMÉDIATEMENT les mots de passe de votre compte admin.
- Passez en version 6.9.5 ou 7.0.3 (via le tableau de bord ou manuellement).
Si vous êtes sain (pour l’instant) :
- Mettez à jour vers 6.9.5, 6.8.6 ou 7.0.3 DANS L’HEURE. C’est votre seule protection.
L’humain avant le robot
La sécurité d’un site ne s’automatise pas totalement. Une mise à jour automatique peut planter un site. Une mise à jour manuelle sans test peut le casser. Il faut un œil humain, des tests préalables et une réactivité immédiate.
Vous avez un doute?
Si vous avez le moindre doute sur l’intégrité de votre site, fermez votre navigateur et contactez un expert. Les pirates ne dorment pas, et les 6 comptes que nous avons trouvés chez notre client sont là pour vous prouver qu’une attaque n’est pas un simple « bug », c’est une occupation.
Ne laissez pas votre site devenir un botnet pour un hacker.