Faille RCE WordPress à 500 000 dollars découverte par une IA pour 25 dollars

Le 20 juillet 2026, l'équipe de recherche de Searchlight Cyber a publié les détails d'une faille pré-authentification dans WordPress, capable de mener jusqu'à l'exécution de code à distance (RCE) sur une installation par défaut avec MySQL. Le point qui a fait réagir toute la communauté sécurité : la faille n'a pas été trouvée par un humain qui a passé des semaines à éplucher le code, mais par GPT5.6 Sol Ultra, un modèle d'OpenAI, lancé en autonomie sur le code source de WordPress pendant quelques heures. Coût total de la découverte : environ 25 dollars.

Le chercheur Adam Kues explique avoir volontairement retenu la publication pendant un week-end pour laisser aux administrateurs le temps de mettre à jour leurs instances. Deux équipes de sécurité, Calif et Hacktron, ont de leur côté réussi à reproduire la chaîne complète de façon indépendante avant que d'autres preuves de concept n'apparaissent sur GitHub.

L'API batch de WordPress, une cible qui ne payait pas de mine

Pour comprendre la faille, il faut rappeler ce qu'est l'API batch de WordPress, introduite en 2020 avec la version 5.6. Elle permet de regrouper plusieurs appels à l'API REST de WordPress en une seule requête HTTP, par exemple pour modifier le titre de plusieurs articles d'un coup. Cette route est accessible que vous soyez authentifié ou non : chaque sous-requête reçoit simplement les informations d'authentification qui lui sont transmises.

Sur un endpoint appelé directement, WordPress fait passer les paramètres par un pipeline de validation strict : vérification du type et de la forme des données, assainissement, puis contrôle des permissions avant d'exécuter le code de l'endpoint. Le problème identifié par l'IA se situe dans la façon dont ce pipeline se comporte lorsqu'il est invoqué via l'API batch plutôt que directement, ce qui ouvre la voie à une injection SQL exploitable sans le moindre compte utilisateur.

Comment l'IA a trouvé la faille : une méthode multi-agents, pas un coup de chance

La méthode employée est aussi intéressante que le résultat. Le chercheur s'est inspiré d'un prompt publié par OpenAI, initialement conçu pour faire résoudre à Sol Ultra la conjecture mathématique de la double couverture par cycles (Cycle Double Cover conjecture). Il l'a adapté à l'audit de code avec plusieurs règles précises :

• Jusqu'à quatre agents tournant en parallèle, répartis sur des familles d'approches différentes (analyse des entrées, upload de fichiers, sérialisation, cache, conditions de course, etc.), avec réorientation des agents dès qu'une piste sature.
• Interdiction d'utiliser les changelogs, l'historique Git ou internet pour comparer le code face à une version corrigée : l'analyse devait partir des premiers principes, en lisant uniquement le code source.
• Un dossier third_party/ mis à disposition pour que l'IA puisse cloner et auditer elle-même les dépendances PHP sous-jacentes, plutôt que de se contenter de chercher leur documentation en ligne.
• Une consigne explicite de tenir au moins six heures avant d'abandonner.

Résultat : Sol Ultra a d'abord signalé une injection SQL exploitable sans authentification, en lecture seule. Le chercheur, sceptique, a testé la faille sur une instance WordPress fraîchement installée sur un serveur distant, et lui a demandé de récupérer l'adresse e-mail de l'administrateur. En quelques minutes, l'IA a affiché l'adresse utilisée à l'installation.

De la lecture seule à l'admin, puis à l'exécution de code

La suite est allée plus loin que prévu. Interrogée sur la possibilité d'escalader cette SQLi en lecture seule vers une prise de contrôle complète, l'IA a répondu environ quatre heures plus tard : oui, et de façon fiable, sans casser aucun mot de passe ni recourir à du calcul hors ligne. Le chercheur a ensuite passé la journée suivante à comprendre en détail le travail de post-exploitation réalisé par le modèle pour transformer cet accès administrateur en exécution de code à distance, un travail qu'il décrit lui-même comme nettement plus complexe à décortiquer qu'à générer.

Coût cumulé de toute l'opération : environ 50 % du quota hebdomadaire d'un abonnement à 200 dollars, soit approximativement 25 dollars au prorata. En face, selon le titre même de la publication de Searchlight Cyber, des courtiers en exploits (exploit brokers) sont prêts à payer jusqu'à 500 000 dollars pour une RCE WordPress de ce calibre. L'écart entre le coût de la découverte et la valeur de marché de la faille est, à lui seul, le vrai sujet de cette histoire.

Comment vérifier votre site et vous protéger

Searchlight Cyber a mis en ligne un outil gratuit de vérification à l'adresse wp2shell.com pour tester si une instance WordPress est vulnérable. Si vous gérez un ou plusieurs sites WordPress, quelques réflexes s'imposent sans attendre :

• Mettez à jour WordPress vers la dernière version stable dès que possible, ainsi que tous les plugins et thèmes actifs.
• Passez votre instance au scanner proposé par Searchlight Cyber pour savoir si votre installation est exposée.
• Surveillez les logs de votre serveur pour repérer des appels inhabituels vers /wp-json/batch/v1, en particulier sans authentification.
• Limitez la surface pré-authentification exposée par votre WAF ou votre reverse proxy sur les routes de l'API REST WordPress qui n'ont pas besoin d'être publiques.

Notre lecture chez CZSyn

Cette découverte confirme une bascule que nous observons depuis plusieurs mois chez nos clients : le coût de découverte d'une vulnérabilité critique s'effondre, alors que sa valeur de revente sur le marché des exploits reste, elle, à six chiffres. Pour une PME qui gère son site WordPress sans équipe sécurité dédiée, ce déséquilibre change la donne : il ne s'agit plus de se demander si quelqu'un cherchera une faille dans votre installation, mais à quelle vitesse un attaquant pourra désormais en trouver une avec les mêmes outils, à moindre coût.

WordPress reste l'un des systèmes de gestion de contenu les plus audités et les plus patchés au monde, et cette faille précise sera corrigée comme les précédentes. Mais la méthode employée ici, l'analyse autonome multi-agents sur du code source complet plutôt qu'un simple diff de changelog, va probablement devenir un standard aussi bien côté attaquants que côté défenseurs. Notre conseil concret : un audit de sécurité régulier de votre configuration WordPress (plugins, permissions, exposition de l'API REST) coûte aujourd'hui beaucoup moins cher qu'une remédiation après compromission.

Sources primaires

• Searchlight Cyber, Adam Kues, « Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25 », 20 juillet 2026.
• Outil de vérification gratuit, wp2shell.com.
• Documentation officielle, WordPress.org.