WordPress wp2shell : hackers exploitent en masse deux failles critiques laissant 90 M de sites exposés

Deux failles WordPress patchées la semaine dernière — CVE-2026-63030 et CVE-2026-60137, dénommées « wp2shell » — sont désormais activement exploitées dans la nature selon Patchstack, Hexastrike et WatchTowr. Sur les 400 M d'installations tournant en versions vulnérables 6.9.0-6.9.4 et 7.0.0-7.0.1, un consultant estime que moins de 15 % ne sont toujours pas patchées, soit environ 90 M de sites exposés. WordPress a activé des mises à jour forcées et Cloudflare a déployé des protections.