# WordPress « Comment2Shell » : d’un commentaire anonyme à un web shell

- Link: https://dpioch.aristeecampus.org/veille/wordpress-comment2shell-dun-commentaire-anonyme-a-un-web-shell/
- Published: 2026-09-22T12:30:00+02:00
- Author: Admin

[⌊Capture réelle de la page source : The Hacker News⌉⌊Capture réelle de la page 
source : The Hacker News⌉[

Article de presse web sur la faille WordPress CVE-2026-93485 surnommée « Comment2Shell»,
corrigée dans la version 7.1.1. Capture du 7 octobre 2026. [Consulter la source](https://thehackernews.com/2026/09/wordpress-comment2shell-flaw-can-turn.html)

## Contexte

La CVE-2026-93485 (CVSS 7.1) touche le cœur de WordPress, de la version 4.7 à la
7.1. Elle est corrigée en 7.1.1, 7.0.5 et 6.9.8, avec des correctifs portés jusqu’à
la branche 4.7.36. Aucune exploitation n’est signalée à ce jour.

## Analyse

 * Un visiteur anonyme publie un commentaire qui contient un saut de ligne à l’intérieur
   d’un attribut de balise HTML.
 * Lors de la mise en forme pour l’affichage, WordPress coupe la balise en deux :
   le texte de l’attaquant se retrouve interprété comme un gestionnaire d’événement,
   exécuté au chargement de la page sans aucune interaction.
 * Si un administrateur connecté ouvre la page, le script s’exécute avec ses droits
   et peut téléverser une extension contenant un web shell, ce qui donne l’exécution
   de commandes sur le serveur.
 * Conditions : le commentaire doit être affiché (la modération n’est pas une protection
   par défaut), un administrateur doit visiter la page, et le thème doit utiliser
   le formatage concerné.

## Remédiation

 * Mettre à jour WordPress, idéalement avec les mises à jour automatiques de sécurité
   activées.
 * À défaut : désactiver les commentaires ou filtrer les commentaires forgés avec
   un WAF ou une extension de sécurité.
 * Bonne pratique : ne pas naviguer sur le site public avec une session administrateur
   ouverte, et bloquer l’édition de fichiers depuis l’administration en production.

## À retenir

 * Dans le scénario décrit, une injection de script persistante (XSS stockée) peut
   conduire à une exécution de code lorsque les conditions d’accès et de téléversement
   sont réunies.
 * Côté détection : surveiller l’apparition de nouveaux fichiers PHP dans `wp-content/
   plugins` (contrôle d’intégrité Wazuh) et les commentaires contenant des attributs`
   on*`.