Администраторите на WordPress са призовани да актуализират системата незабавно, след като изследователи разкриха Click2Shell – верига от уязвимости (exploit chain), която може да превърне една зловредна връзка в отдалечено изпълнение на код (RCE) върху засегнат уебсайт.

Проблемът започва от слабост при прегледа на теми в WordPress Core, която незабележимо инсталира избрана от атакуващия тема от официалния каталог, след което се превръща в компрометиране на сървъра при комбиниране с незащитен код преди активиране в съответната тема.

WordPress отстрани уязвимостта в Core във версия 7.1.1, пусната на 17 септември 2026 г., като част от актуализация, съдържаща 11 корекции за сигурност, 17 корекции на грешки в Core и 19 корекции в Block Editor.

Официалното бюлетин за сигурност описва проблема като специално манипулирани URL адреси, които автоматично инсталират и показват преглед на неактивна тема от WordPress.org, като изказва благодарности на Paulos Yibelo и pwn.ai и препоръчва незабавно инсталиране на актуализациите.

Атаката не изисква киберпрестъпникът да притежава акаунт в WordPress. Тя обаче изисква логнат администратор да посети зловредния URL адрес.

Click2Shell WordPress Vulnerability

Автентикираната сесия на администратора осигурява правата за инсталиране и nonce токена, позволявайки на доверения JavaScript на WordPress да извърши чувствителното действие от името на атакуващия.

Уязвимостта произлиза от пътя на инсталатора на теми, където стойността на дадена тема се обработва по два несъвместими начина. Themes API на WordPress.org нормализира подадения входен параметър в валиден идентификатор (slug) от каталога, докато браузърът на администратора запазва оригиналната пунктуация и я вмъква в jQuery селектор.

Манипулираните знаци в селектора могат да избегнат предвиденото съвпадение на атрибута, да преминат през върнатата карта на темата и да достигнат до истинския бутон Install, който WordPress след това активира софтуерно.

Това поведение само по себе си не позволява зареждане на произволен архив с тема или незабавно RCE. То инсталира актуален пакет, избран от доверения каталог на WordPress.org, а темата остава неактивна, оставяйки външния вид на сайта непроменен. Липсата на видима промяна прави тази активност лесна за пропускане и обяснява защо вторият етап е от критично значение.

Изследователите демонстрираха пълната верига с Mobile Repair Zone 2.5.4. По време на преглед в Customizer, WordPress зареди PHP кода на неактивната тема, разкривайки автентикиран AJAX манипулатор, на който липсваха както проверка на nonce токен, така и проверка на правата (capability check).

Манипулаторът приемаше контролирани от атакуващия данни за плъгин и URL адрес на пакет, изтегляше и разопаковаше предоставения архив и зареждаше неговата PHP входна точка, постигайки изпълнение на зловреден код с правата на уеб сървъра.

Успешното компрометиране би могло да позволи на атакуващите да получат достъп до wp-config.php и данни за достъп до базата данни, да четат съдържание от WordPress или WooCommerce, да променят файлове и съдържание, да създават нови потребители, да откраднат поверителни данни, достъпни за PHP процеса, и потенциално да поемат контрол върху цялата хостинг среда.

Поради това слабостта в Core действа като механизъм за принудително инсталиране, докато уязвимата тема осигурява моста от неактивния пакет до изпълним, контролиран от атакуващия PHP код.

WordPress коригира инжектирането в селектора в changeset 63664. Корекцията за сигурност ограничава съвпадението до автентична div.theme карта и прилага escapeSelector() на jQuery към получения от URL адреса slug преди конструирането на селектора. В резултат на това инжектираните кавички, комбинатори и синтаксис за коментари се интерпретират като обикновени знаци от името на slug, а не като изпълнима CSS селекторна структура.core.trac.

Pwn.ai оцени самостоятелния проблем с принудителното инсталиране като висока степен на сериозност (High) с CVSS 3.1 оценка 7.1 и определи демонстрираната RCE верига като критична (Critical). Към момента на оповестяването WordPress все още не беше публикувал крайна оценка за сериозност или CVE идентификатор, а публичните доклади съобщават, че няма данни за експлоатация на уязвимостта в реални атаки.

Процесът по разкриване започна на 22 август, когато изследователите съобщиха за инжектирането в селектора и поведението на автоматично инсталиране. Те предоставиха пълната верига за атака преди активиране на 1 септември, WordPress издаде своята корекция за сигурност на 17 септември, а pwn.ai публикува подробния технически анализ на следващия ден.

Собствениците на сайтове трябва незабавно да инсталират WordPress 7.1.1 или да приложат съответната версия за сигурност за тяхната поддържана версия. От WordPress заявиха, че корекциите се портват обратно при необходимост към поддържаните за сигурност версии до 4.7, въпреки че активно се поддържа само най-новата версия.

Администраторите трябва също така да потвърдят автоматичните актуализации, да прегледат наскоро инсталираните теми и плъгини, да проверят за неочаквани PHP файлове и промени в акаунтите, както и да разследват съмнителни заявки към крайни точки theme-install.php или Customizer-enabled admin-ajax.php.

Cut every SOC alert investigation by 21 min. Power your SOC with instant IOC context for immediate response: Integrate TI Lookup in your SOC