CVE-2026-63030 : vulnérabilité WordPress

WordPress est affecté par une vulnérabilité permettant une exécution de code à distance associée à injection sql dans les versions comprises entre la version 6.9 incluse et la version 6.9.5 exclue et les versions comprises entre la version 7.0 incluse et la version 7.0.2 exclue. Son score CVSS atteint 9,8 sur 10, ce qui correspond à une gravité critique.

Le point d’entrée concerné est « /wp-json/batch/v1 ». Le mécanisme décrit repose sur désynchronisation entre la validation de la route et son exécution, appel d’une fonction qui n’était pas celle validée initialement, contournement de la restriction allow_batch, contournement de la validation et du nettoyage des paramètres, contournement du nettoyage des entrées et paramètres contrôlés par l’attaquant. Dans la chaîne d’exploitation publiée, une injection SQL peut être chaînée avec le défaut principal et la chaîne décrite peut aboutir à une exécution de code à distance. La faille ne se limite donc pas à une injection SQL. Celle-ci constitue une étape permettant de détourner le traitement serveur et peut mener à l’exécution de code dans le contexte du site WordPress. Le scénario publié repose sur un accès au travers du réseau, aucun compte préalable, une complexité faible et aucune action d’un autre utilisateur.

Les versions 6.9.5 et 7.0.2 contiennent le correctif pour les branches concernées. La CISA inscrit cette CVE dans son catalogue des vulnérabilités dont l’exploitation est connue depuis le 21 juillet 2026. Le CERT FR cite également cette CVE dans une publication officielle. Le modèle EPSS estime à 97 % la probabilité d’observer une activité d’exploitation dans les trente prochains jours avec un classement au 99,9e percentile. Nous vous recommandons de confirmer la version installée, de sauvegarder le site puis d’appliquer le correctif et de contrôler les fichiers récemment créés ou modifiés ainsi que les journaux du serveur. La priorité opérationnelle calculée est immédiate.