Il team di ricerca di pwn.ai ha identificato una nuova vulnerabilità nel nucleo di WordPress, battezzata Click2Shell. Si tratta di una falla che, sfruttando un URL appositamente creato, può costringere un amministratore autenticato ad installare un tema proveniente dal catalogo ufficiale senza alcuna azione esplicita da parte sua. La scoperta è stata pubblicata il 18 settembre 2026 e ha spinto gli sviluppatori del CMS a rilasciare una correzione urgente nella versione 7.1.1.
Come funziona il meccanismo di Click2Shell
Il problema nasce da due parti del software che interpretano in maniera diversa lo stesso valore passato nell’URL. Il servizio Themes API tratta il valore come il semplice nome (slug) di un tema e restituisce le informazioni corrispondenti. Nel frattempo il browser dell’amministratore, tramite lo script theme.jsinserisce il valore originale – comprensivo di caratteri speciali aggiunti dall’attaccante – all’interno di un selettore jQuery. Questa manipolazione permette di “cliccare” automaticamente il pulsante Install presente nella scheda del tema, facendo sì che WordPress scarichi e posizioni il pacchetto nella directory wp-content/themes senza richiedere il token di sicurezza né i privilegi di installazione, poiché tali informazioni sono già forniti dalla sessione attiva dell’amministratore.
Dettaglio dell’installazione forzata
Un esempio tipico prevede un URL del tipo /wp-admin/theme-install.php?theme=twentytwenty%27%20%2C%20%23install%20%2C%20/*. Il servizio API riduce lo slug a twentytwenty e restituisce le informazioni del tema reale. Il JavaScript, invece, conserva l’intera stringa, chiude la sintassi del selettore CSS, attraversa i controlli della scheda e invoca il click sul pulsante di installazione. Poiché la pagina di amministrazione contiene già un nonce valido, WordPress procede con il download e la decompressione del file ZIP, creando la cartella del tema in wp-content/themes/twentytwenty. Il tema rimane inattivo, quindi l’aspetto del sito non subisce alcuna modifica visibile.
Il ruolo del tema mobile-repair-zone nella catena di attacco
Affinché l’installazione di un tema inattivo possa portare a esecuzione di codice è necessario un secondo difetto presente nel tema stesso. Il team pwn.ai ha individuato nella versione 2.5.4 del tema Mobile Repair Zone una routine AJAX che, senza verificare token o privilegi, accetta un URL di pacchetto, lo scarica e lo esegue. Una volta che Click2Shell ha forzato l’installazione di questo tema, la funzionalità di anteprima del Customizer carica il codice PHP del tema appena installato, attivando così l’handler vulnerabile. Il risultato è un attacco a doppio stadio: installazione silenziosa seguita dall’esecuzione di codice arbitrario con i privilegi del server web.
Correzioni rilasciate, valutazioni di gravità e consigli per gli amministratori
WordPress ha incorporato la correzione nella release 7.1.1, pubblicata il 17 settembre 2026, parte di un pacchetto di 11 aggiornamenti di sicurezza. La patch normalizza l’interpretazione del valore passato all’URL, impedendo al browser di trasformarlo in un selettore jQuery in grado di attivare il pulsante di installazione. Inoltre, il fix è retrocompatibile fino alla versione 4.7, garantendo che anche i siti più vecchi possano beneficiare dell’aggiornamento tramite le tradizionali procedure di patch.
Secondo i ricercatori di pwn.ai, la vulnerabilità di base merita un punteggio CVSS di 7.1 (alta gravità), mentre la catena completa che porta all’esecuzione di codice raggiunge 9.6 (critica). WordPress, nella propria comunicazione, ha descritto il problema con la frase “Specially crafted URLs can automatically install and preview an inactive theme from “, senza attribuire un punteggio CVSS né un identificatore CVE al momento della pubblicazione. È previsto l’assegnamento di un CVE in una fase successiva.
Per gli amministratori è fondamentale aggiornare immediatamente il core alla versione 7.1.1 o alla controparte corrispondente del ramo in uso. Non esistono workaround ufficiali: l’unica difesa efficace resta l’applicazione della patch. Inoltre, è consigliabile verificare la presenza di temi terzi installati e valutare eventuali vulnerabilità note, soprattutto se non più mantenuti. Un controllo periodico dei temi attivi e inattivi, unitamente a un approccio di “least privilege” per le funzioni AJAX, può ridurre drasticamente il rischio di exploit simili in futuro.
