Click2Shell: vulnerabilitatea WordPress care poate duce la execuție PHP pe server și de ce update-ul la 7.1.1 este urgent
O nouă vulnerabilitate din WordPress Core, numită neoficial „Click2Shell”, merită atenția administratorilor de site-uri, agențiilor și magazinelor online care folosesc platforma. Problema nu pornește de la o parolă spartă și nici nu cere atacatorului să aibă cont pe site. În schimb, exploatarea se bazează pe un scenariu de tip CSRF: un administrator autentificat este convins să acceseze un link special creat. De acolo, lanțul poate forța instalarea unei teme din catalogul WordPress.org și, în anumite condiții, poate permite rularea unui fișier PHP pe server. WordPress a corectat problema în versiunea 7.1.1, lansată pe 17 septembrie 2026. Cum detaliile tehnice și un proof-of-concept sunt deja publice, amânarea actualizării este un risc inutil. (bleepingcomputer.com)
Ce este Click2Shell și de ce este diferită de un atac obișnuit
Click2Shell este numele dat de cercetătorul Paulos Yibelo, de la pwn.ai, unei vulnerabilități din componenta Core a WordPress. Nu are, deocamdată, un identificator CVE oficial, însă WordPress o descrie în notele versiunii 7.1.1 drept o problemă care permite folosirea unui URL special pentru instalarea și previzualizarea unei teme din WordPress.org. (wordpress.org)
Pe scurt, problema apare în modul în care o valoare din URL-ul de previzualizare a unei teme este interpretată de două ori: o dată de API-ul WordPress.org Themes și încă o dată, într-un mod defectuos, de JavaScript-ul din browserul administratorului. Această combinație poate determina panoul WordPress să trateze o solicitare malițioasă ca și cum ar fi una legitimă. (bleepingcomputer.com)
Partea importantă este că atacatorul nu trebuie să se autentifice și nu are nevoie de drepturi de administrator. Totuși, atacul nu este complet „zero-click”: este necesar ca un administrator deja logat în WordPress să deschidă linkul pregătit de atacator. Asta mută riscul în zona de phishing, mesaje aparent banale de suport, emailuri despre „actualizarea temei”, conversații compromise sau chiar alte vulnerabilități XSS care pot forța browserul administratorului să trimită cererea. (bleepingcomputer.com)
Pentru un site mic din România, acest detaliu poate părea liniștitor: „nu deschid linkuri suspecte”. În practică, administratorii sunt adesea oameni ocupați — proprietari de magazine, marketeri, redactori sau freelanceri — care intră în wp-admin din emailuri, Slack, WhatsApp ori documente de lucru. De aceea, o vulnerabilitate care depinde de o singură acțiune a unui admin rămâne una serioasă.
Cum poate ajunge un simplu link la cod PHP executat pe server
Lanțul Click2Shell nu înseamnă că orice link poate prelua instantaneu controlul asupra unui site WordPress. Pentru ca atacul să ajungă la execuție de cod, este nevoie de o temă vulnerabilă din catalogul oficial WordPress.org, care devine a doua verigă din atac. Cercetătorii au demonstrat că o temă poate rula cod PHP chiar și atunci când nu este activă, dacă este încărcată într-o previzualizare prin Customizer. (bleepingcomputer.com)
Aici este problema de securitate reală: tema este doar vehiculul, iar defectul care permite forțarea instalării ei se află în WordPress Core. Cu alte cuvinte, nu este suficient să spui că „folosesc o temă sigură” sau că „nu instalez extensii dubioase”. Într-un scenariu reușit, atacatorul poate încerca să introducă o temă vulnerabilă fără ca administratorul să apese în mod explicit butonul de instalare. (bleepingcomputer.com)
Dacă ajunge la rularea de PHP, impactul poate depăși cu mult modificarea vizuală a site-ului. Un atacator ar putea modifica sau șterge fișiere, adăuga conturi administrative false, introduce scripturi pentru furt de date sau încerca să citească fișierul wp-config.php. Acesta conține, de regulă, credențialele bazei de date și chei de autentificare, adică informații suficiente pentru ca un incident să se transforme într-o compromitere mai amplă. (bleepingcomputer.com)
Este important și ce nu știm încă. Sursele analizate confirmă publicarea unui proof-of-concept și a detaliilor tehnice, dar nu oferă o confirmare clară a unei campanii de exploatare în masă pentru Click2Shell. Totuși, după apariția unui PoC, intervalul dintre publicare și primele scanări automate se poate reduce rapid. Aceasta este o problemă de patch management, nu un subiect care merită lăsat „pentru weekend”.
Cine este afectat în România și de ce update-ul nu trebuie amânat
Sunt expuse instalările WordPress 7.1.0 și versiunile anterioare afectate de această problemă. Remedierea este inclusă în WordPress 7.1.1, lansat pe 17 septembrie 2026 ca actualizare de securitate și mentenanță, cu 11 corecții de securitate în total. WordPress recomandă explicit actualizarea imediată. (wordpress.org)
În România, categoria cu cel mai mare risc nu este neapărat cea a site-urilor foarte mari, cu echipe dedicate de securitate. Mai vulnerabile în practică sunt magazinele WooCommerce administrate de proprietar, site-urile de prezentare întreținute rar, platformele de cursuri, publicațiile mici și site-urile agențiilor care gestionează zeci de proiecte pentru clienți. Cu cât există mai mulți administratori, mai multe conturi partajate sau mai puțină disciplină în actualizări, cu atât crește probabilitatea ca cineva să acceseze un link periculos.
Pentru mai multe detalii despre această parte a subiectului, vezi Cum să securizezi WordPress după un hack: oprește reinfectarea, recuperează SEO-ul și înțelege când DIY nu mai este suficient.
Actualizarea Core este prioritatea, dar nu este singurul lucru de verificat. Un site actualizat, dar cu teme abandonate și pluginuri neîntreținute, rămâne o țintă atractivă. Click2Shell arată tocmai de ce inventarul de teme inactive nu este o formalitate. O temă aparent nefolosită poate deveni relevantă într-un lanț de atac dacă poate fi instalată sau previzualizată.
Versiunile vechi ale WordPress merită tratate separat. WordPress menține actualizări de securitate pentru anumite ramuri mai vechi, însă versiunile 4.6 și anterioare nu mai primesc patch-uri de securitate. Pentru un site vechi, actualizarea directă poate necesita verificări de compatibilitate pentru temă, PHP și extensii, dar blocarea actualizării la nesfârșit nu este o strategie de securitate. (wordpress.org)
Ce măsuri reduc riscul, dincolo de simplul update
Primul pas rămâne instalarea WordPress 7.1.1 din Dashboard > Updates. Pe site-urile care permit actualizări automate în fundal, procesul poate porni automat, dar administratorii nu ar trebui să presupună că toate instalările au fost aduse la zi. Verificarea manuală a versiunii este mai sigură, mai ales pe site-uri administrate prin panouri de hosting sau prin fluxuri de deployment personalizate. (wordpress.org)
Pentru cazurile în care actualizarea nu poate fi făcută imediat, există o atenuare parțială: definirea opțiunii DISALLOW_FILE_MODS. Aceasta împiedică instalarea sau modificarea temelor și pluginurilor din interfața WordPress, ceea ce blochează o componentă necesară lanțului Click2Shell. Nu este însă un substitut pentru patch: limitează funcționalități administrative și nu repară cauza din Core. (bleepingcomputer.com)
Mai util decât instalarea grăbită a încă unui plugin „de securitate” este să existe o rutină simplă: backup verificat înainte de update, actualizare Core, actualizare extensii și teme, eliminarea componentelor inactive inutil, apoi verificarea conturilor administrative și a modificărilor recente. Pentru magazine și site-uri cu formulare, merită verificat și dacă există copii de siguranță restaurabile, nu doar arhive stocate undeva pe server.
Lucruri de făcut acum:
- verifică versiunea WordPress și actualizează la 7.1.1;
- elimină temele și pluginurile inactive de care nu mai ai nevoie;
- revizuiește lista utilizatorilor cu rol de Administrator;
- nu accesa linkuri de „suport”, „verificare temă” sau „update urgent” cât timp ești logat în wp-admin;
- verifică existența unui backup recent, separat de serverul principal;
- dacă update-ul trebuie amânat, evaluează temporar
DISALLOW_FILE_MODS, fără a-l considera o rezolvare permanentă.
Click2Shell nu este un motiv de panică, ci un test bun pentru igiena operațională a oricărui site WordPress. Vulnerabilitatea cere interacțiunea unui administrator, dar tocmai acesta este motivul pentru care atacurile de phishing pot fi eficiente. Actualizarea la WordPress 7.1.1, curățarea temelor nefolosite și controlul conturilor administrative sunt măsuri simple, cu efect imediat. Pentru proprietarii de site-uri din România, mesajul esențial este clar: nu aștepta confirmarea unor atacuri locale pentru a instala un patch de securitate deja disponibil.
Ghid ServerSpan relevant: Ghidul suprem pentru curățarea hack-ului cu cuvinte cheie japoneze de pe site-ul dumneavoastră WordPress.