Descoberta e escopo do incidente
Administradores do WordPress foram alertados para atualizar seus sistemas após a divulgação da falha Click2Shell, uma cadeia de exploração que pode transformar um único link malicioso em execução remota de código (RCE) em sites vulneráveis. A vulnerabilidade começa com uma fraqueza no tema-preview do núcleo do WordPress, que instala silenciosamente um tema selecionado pelo atacante a partir do diretório oficial, tornando-se uma comprometeção do servidor quando encadeada com código de pré-ativação inseguro em um tema.
A falha foi abordada pelo WordPress na versão 7.1.1, lançada em 17 de setembro de 2026, como parte de uma atualização contendo 11 correções de segurança, 17 correções de bugs do núcleo e 19 correções do Block Editor. O advisory oficial descreve a questão como URLs especialmente elaboradas que instalam e visualizam automaticamente um tema inativo do WordPress.org, creditando Paulos Yibelo e pwn.ai, e recomenda atualizações imediatas.
O que mudou agora
A cadeia de exploração Click2Shell representa um risco significativo para a segurança de sites WordPress, pois não requer que o adversário possua uma conta no WordPress. No entanto, exige que um administrador logado visite o URL malicioso. Isso significa que ataques de engenharia social, como phishing direcionado a administradores, podem ser suficientes para comprometer um site.
A correção foi implementada no changeset 63664, que restringe a correspondência a um cartão de tema div genuíno e aplica escapeSelector() do jQuery ao slug derivado da URL antes de construir o seletor. Como resultado, aspas injetadas, combinadores e sintaxe de comentário são interpretadas como caracteres de slug literais em vez de estrutura de seletor CSS executável.
Impacto e alcance
Um comprometimento bem-sucedido pode permitir que atacantes acessem wp-config.php e credenciais de banco de dados, leiam dados do WordPress ou WooCommerce, alterem arquivos e conteúdo, criem usuários, roubem segredos disponíveis para o worker PHP e potencialmente tomem conta do ambiente de hospedagem mais amplo. A fraqueza do núcleo atua como uma primitiva de instalação forçada, enquanto o tema vulnerável fornece a ponte de um pacote inativo para PHP executável controlado pelo atacante.
A pwn.ai avaliou a questão de instalação forçada independente como de alta severidade com uma pontuação CVSS 3.1 de 7.1 e considerou a cadeia RCE demonstrada como crítica. O WordPress não publicou uma severidade final ou identificador CVE na divulgação, e a divulgação pública indicou nenhuma evidência de exploração no ambiente selvagem.
Análise técnica detalhada
A vulnerabilidade origina-se na rota do instalador de temas, onde um valor de tema é processado de duas maneiras inconsistentes. A API de Temas do WordPress.org canoniciza a entrada fornecida em um slug de catálogo válido, enquanto o navegador do administrador retém a pontuação original e a insere em um seletor jQuery. Caracteres de seletor elaborados podem escapar da correspondência de atributo pretendida, percorrer o cartão de tema retornado e alcançar o controle de Instalação genuíno, que o WordPress ativa programaticamente.
Esse comportamento sozinho não permite um arquivo de tema arbitrário ou RCE imediato. Ele instala um pacote atual selecionado do catálogo confiável do WordPress.org, e o tema permanece inativo, deixando a aparência do site inalterada. Essa falta de interrupção visível torna a atividade fácil de perder e explica por que a segunda etapa é crucial.
Os pesquisadores demonstraram a cadeia completa com Mobile Repair Zone 2.5.4. Durante uma visualização do Customizer, o WordPress carregou o PHP do tema inativo, expondo um handler AJAX autenticado que carecia tanto de verificação de nonce quanto de verificação de capacidade. O handler aceitou detalhes de plugin controlados pelo atacante e uma URL de pacote, baixou e descompactou o arquivo fornecido e carregou seu ponto de entrada PHP, produzindo execução de código sob a conta do servidor web.
Medidas de mitigação recomendadas
Os proprietários de sites devem instalar o WordPress 7.1.1 imediatamente ou aplicar a versão de segurança correspondente para sua branch suportada. O WordPress disse que as correções estavam sendo backportadas onde necessário para branches de segurança suportadas até a 4.7, embora apenas a versão mais recente seja ativamente suportada.
Os administradores também devem verificar atualizações automáticas, revisar temas e plugins instalados recentemente, inspecionar arquivos PHP inesperados e alterações de conta, e investigar solicitações suspeitas aos endpoints theme-install.php ou admin-ajax.php habilitados para Customizer.
Implicações regulatórias (LGPD)
A exploração dessa vulnerabilidade pode resultar em vazamento de dados pessoais armazenados no WordPress, como informações de clientes, usuários ou conteúdo sensível. No Brasil, a Lei Geral de Proteção de Dados (LGPD) exige que as organizações notifiquem a Autoridade Nacional de Proteção de Dados (ANPD) e os afetados em caso de incidentes de segurança que possam causar risco ou dano relevante.
Além disso, a falha em aplicar patches de segurança conhecidos pode ser considerada uma negligência na proteção de dados, o que pode resultar em multas e sanções. As organizações devem documentar suas ações de resposta a incidentes e as medidas de mitigação adotadas para demonstrar conformidade com os requisitos de segurança da LGPD.
Perguntas frequentes
Qual a severidade da vulnerabilidade? A pwn.ai avaliou a cadeia RCE demonstrada como crítica, embora o WordPress não tenha publicado uma severidade final.
Como posso saber se meu site foi comprometido? Verifique atualizações automáticas, revise temas e plugins instalados recentemente e inspecione arquivos PHP inesperados.
Qual versão corrige a falha? A versão 7.1.1 do WordPress corrige a falha. Correções também estão sendo backportadas para branches de segurança suportadas até a 4.7.