CERTFR-2026-ALE-007

Vulnerability from certfr_alerte - Published: 2026-07-20 - Updated: 2026-07-20

Le 17 juillet 2026, WordPress a publié un correctif pour deux vulnérabilités :

  • CVE-2026-60137 : une injection SQL (SQLi) ;
  • CVE-2026-63030 : celle-ci permet un contournement de la politique de sécurité.

Un attaquant peut exploiter ces deux vulnérabilités, de manière combinée, pour obtenir une exécution de code arbitraire à distance dans les versions 6.9 et ultérieures de WordPress Core.

Le CERT-FR a connaissance d'une preuve de concept publique et anticipe des tentatives d'exploitations en masse.

Mesures de contournement

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Si cela n'est pas possible, les chercheurs à l'origine de la découverte de ces vulnérabilités recommandent de bloquer l'accès non authentifié à l'API REST de WordPress (cf. section Documentation).
Selon eux, couper l'accès au chemin /wp-json/batch/v1 aux requêtes contenant le paramètre rest_route=/batch/v1, grâce à un pare-feu applicatif (WAF), est une manière de se protéger contre l'exploitation de ces deux vulnérabilités.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

L'éditeur précise que les versions 6.9.x et ultérieures sont affectées par les deux vulnérabilités, dont l'exploitation combinée permet à un attaquant, non authentifié, une exécution de code arbitraire à distance.

Impacted products
Vendor Product Description
WordPress WordPress WordPress versions 6.8.x antérieures à 6.8.6
WordPress WordPress WordPress versions 7.1.x antérieures à 7.1 beta2
WordPress WordPress WordPress versions 7.x antérieures à 7.0.2
WordPress WordPress WordPress versions 6.9.x antérieures à 6.9.5
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "WordPress versions 6.8.x ant\u00e9rieures \u00e0 6.8.6",
      "product": {
        "name": "WordPress",
        "vendor": {
          "name": "WordPress",
          "scada": false
        }
      }
    },
    {
      "description": "WordPress versions 7.1.x ant\u00e9rieures \u00e0 7.1 beta2",
      "product": {
        "name": "WordPress",
        "vendor": {
          "name": "WordPress",
          "scada": false
        }
      }
    },
    {
      "description": "WordPress versions 7.x ant\u00e9rieures \u00e0 7.0.2",
      "product": {
        "name": "WordPress",
        "vendor": {
          "name": "WordPress",
          "scada": false
        }
      }
    },
    {
      "description": "WordPress versions 6.9.x ant\u00e9rieures \u00e0 6.9.5",
      "product": {
        "name": "WordPress",
        "vendor": {
          "name": "WordPress",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "L\u0027\u00e9diteur pr\u00e9cise que les versions 6.9.x et ult\u00e9rieures sont affect\u00e9es par les deux vuln\u00e9rabilit\u00e9s, dont l\u0027exploitation combin\u00e9e permet \u00e0 un attaquant, non authentifi\u00e9, une ex\u00e9cution de code arbitraire \u00e0 distance.",
  "closed_at": null,
  "content": "## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des correctifs (cf. section Documentation).",
  "cves": [
    {
      "name": "CVE-2026-60137",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-60137"
    },
    {
      "name": "CVE-2026-63030",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-63030"
    }
  ],
  "initial_release_date": "2026-07-20T00:00:00",
  "last_revision_date": "2026-07-20T00:00:00",
  "links": [
    {
      "title": "Billet de bogue Searchlight Cyber",
      "url": "https://wp2shell.com/"
    },
    {
      "title": "Avis CERT-FR CERTFR-2026-AVI-0904 du 20 juillet 2026",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0904/"
    }
  ],
  "reference": "CERTFR-2026-ALE-007",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2026-07-20T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Injection SQL (SQLi)"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Le 17 juillet 2026, WordPress a publi\u00e9  un correctif pour deux vuln\u00e9rabilit\u00e9s :\n\u003cul\u003e\n\u003cli\u003eCVE-2026-60137 : une injection SQL (SQLi) ; \u003c/li\u003e\n\u003cli\u003eCVE-2026-63030 : celle-ci permet un contournement de la politique de s\u00e9curit\u00e9.\u003c/li\u003e\n\u003c/ul\u003e\n\nUn attaquant peut exploiter ces deux vuln\u00e9rabilit\u00e9s, de mani\u00e8re combin\u00e9e, pour obtenir une ex\u00e9cution de code arbitraire \u00e0 distance dans les versions 6.9 et ult\u00e9rieures de WordPress Core.\n\nLe CERT-FR a connaissance d\u0027une preuve de concept publique et anticipe des tentatives d\u0027exploitations en masse.\n\n## Mesures de contournement\n\nLe CERT-FR recommande l\u0027application des correctifs dans les plus brefs d\u00e9lais.\n\nSi cela n\u0027est pas possible, les chercheurs \u00e0 l\u0027origine de la d\u00e9couverte de ces vuln\u00e9rabilit\u00e9s recommandent de bloquer l\u0027acc\u00e8s non authentifi\u00e9 \u00e0 l\u0027API REST de WordPress (cf. section Documentation).\u003cbr\u003e\nSelon eux, couper l\u0027acc\u00e8s au chemin \u003ccode\u003e/wp-json/batch/v1\u003c/code\u003e aux requ\u00eates contenant le param\u00e8tre \u003ccode\u003erest_route=/batch/v1\u003c/code\u003e, gr\u00e2ce \u00e0 un pare-feu applicatif (WAF), est une mani\u00e8re de se prot\u00e9ger contre l\u0027exploitation de ces deux vuln\u00e9rabilit\u00e9s.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans WordPress",
  "vendor_advisories": [
    {
      "published_at": "2026-07-17",
      "title": "Bulletin de s\u00e9curit\u00e9 undefined",
      "url": "Bulletin de s\u00e9curit\u00e9 WordPress wordpress-7-0-2"
    }
  ]
}



Log in or create an account to share your comment.




Tags
Taxonomy of the tags.





Forecast uses a logistic model when the trend is rising, or an exponential decay model when the trend is falling. Fitted via linearized least squares.

Sightings

Author Source Type Date Other

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.


Detection rules are retrieved from Rulezet.