WordPress è vulnerabile a Click2Shell: la falla critica, devi aggiornare subito a 7.1.1 (aggiornato: 19 settembre 2026, ore 09:12)

Un link, aperto da un amministratore già autenticato. Tanto basta perché sul sito compaia un tema nuovo di zecca, scaricato dalla directory ufficiale di WordPress.org, senza che nessuno abbia mai premuto il pulsante Installa. La falla si chiama Click2Shell, l'ha individuata e segnalata la società di sicurezza pwn.ai, ed è stata corretta il 17 settembre 2026 con WordPress 7.1.1. Da sola non permette di eseguire codice sul server: diventa un problema serio soltanto quando viene concatenata a una seconda vulnerabilità, ospitata proprio nel tema che l'attaccante ha scelto di far installare.

Le note di rilascio di WordPress descrivono il difetto in modo asciutto: «URL appositamente costruiti possono installare e mostrare in anteprima automaticamente un tema inattivo da WordPress.org». Nessun indizio, al momento, che il problema sia stato sfruttato in attacchi reali.

Due componenti leggono lo stesso link in due modi diversi

Il cuore del problema è un disallineamento di interpretazione. La directory di WordPress.org legge il valore contenuto nel link come nome di un tema e restituisce un tema reale, esistente. Il browser dell'amministratore, però, riutilizza quel medesimo testo originale - punteggiatura compresa - all'interno del codice che serve a selezionare un elemento della pagina. Aggiungendo i caratteri giusti, l'attaccante dirotta quella selezione sul pulsante di installazione, che lo script di WordPress provvede poi a premere per conto proprio.

Il dettaglio decisivo è che l'aggressore non deve fornire alcuna credenziale né alcun token di sicurezza: ci pensa la sessione dell'amministratore, già autenticata. Il tema, una volta installato, resta spento e inattivo, quindi l'aspetto del sito non cambia di una virgola. Un'installazione silenziosa che, da sola, nessuno noterebbe.

Il tema resta inattivo, ma il suo codice PHP gira lo stesso

Qui entra in gioco il Customizer, lo strumento di personalizzazione di WordPress: per generare l'anteprima, può caricare il codice PHP di un tema anche prima che il tema venga attivato. È la porta che trasforma un'installazione innocua in un vettore di compromissione, a patto che dentro quel tema ci sia qualcosa da sfruttare.

Per la dimostrazione, i ricercatori di pwn.ai hanno concatenato Click2Shell con una falla distinta e indipendente presente in un tema specifico, Mobile Repair Zone: un gestore in background che prelevava un URL dalla richiesta, scaricava un pacchetto e ne eseguiva il codice, senza alcun controllo sui permessi di chi lo invocava né sul token di sicurezza. Messi in fila, i due pezzi portano all'esecuzione di codice sul server.

La distinzione non è un cavillo. «Il bug del Core, da solo, non accetta un archivio ZIP arbitrario contenente un tema», precisa pwn.ai: l'attaccante può far installare solo temi veri, presenti nella directory ufficiale. La gravità reale dipende quindi da che cosa si trova dentro quei temi.

7.1 da sola, 9.6 in catena

I punteggi CVSS riflettono esattamente questa differenza: 7.1 (gravità alta) per la sola installazione forzata del tema, 9.6 (critica) per la catena completa che arriva all'esecuzione di codice. WordPress, dal canto suo, non ha pubblicato una propria valutazione di gravità. Non è stato ancora assegnato nemmeno un identificativo CVE, anche se secondo pwn.ai il progetto intende aggiungerne uno.

Cosa fare adesso, se amministri un sito WordPress

La 7.1.1 è un rilascio di sicurezza, quindi l'indicazione è di aggiornare subito. Le note di rilascio confermano che il problema riguarda le versioni dalla 6.0 fino a quelle immediatamente precedenti alla correzione, e il pacchetto di patch si estende all'indietro fino al ramo supportato 4.7: chi non è sul ramo 7.x deve installare l'aggiornamento corrispondente alla propria versione. I siti con gli aggiornamenti automatici attivi lo riceveranno da soli, ma vale la pena aprire la bacheca e verificare il numero di versione con i propri occhi, invece di darlo per scontato.

Resta poi la lezione meno comoda della vicenda: un difetto di progettazione nel Core, valutato "alto" e non "critico", si è trasformato in una compromissione completa del server soltanto grazie al codice scritto male di un tema di terze parti. La superficie d'attacco di WordPress, in pratica, non finisce dove finisce WordPress.

Fonti: thehackernews.com, pwn.ai