Falha Click2Shell no WordPress pode permitir execução remota de código por meio de um único link
Pesquisadores da pwn.ai identificaram uma vulnerabilidade no núcleo do WordPress capaz de iniciar a instalação de um tema sem a autorização explícita do administrador. Batizada de Click2Shell, a falha pode ser explorada quando um usuário com privilégios administrativos acessa um link preparado pelo atacante.
O problema não depende de um plugin específico. Ele está relacionado a uma falha de validação e interpretação no próprio WordPress e afeta instalações a partir da versão 6.0 até as edições anteriores à 7.1.1.
Embora a vulnerabilidade isolada tenha recebido pontuação 7.1 no CVSS, considerada alta, a exploração completa, quando combinada com etapas que podem levar à execução remota de código, alcança 9.6, classificação crítica. Na prática, isso significa que um ataque bem-sucedido pode ultrapassar a simples instalação indevida de um tema e abrir caminho para alterações profundas no site ou no servidor.
Como o ataque funciona
A Click2Shell explora uma diferença na forma como dois componentes processam o mesmo conteúdo. O diretório oficial de temas do WordPress interpreta o valor recebido no endereço como se fosse apenas o nome de um tema. Já o navegador do administrador reutiliza o texto original em um trecho de código responsável por localizar elementos na interface.
Essa divergência permite que o conteúdo inserido pelo invasor seja interpretado de maneira inesperada pelo navegador. Como consequência, a página pode acionar automaticamente a função de instalação do tema, sem que o usuário precise pressionar manualmente o botão correspondente.
Outro aspecto preocupante é a ausência de etapas adicionais de confirmação. Durante a exploração, não necessariamente aparece uma solicitação de senha, uma caixa de diálogo de segurança ou um aviso claro informando que uma instalação está prestes a ser iniciada. Para a vítima, basta abrir o endereço malicioso enquanto estiver autenticada em uma conta administrativa.
A autenticação de administrador é indispensável
Apesar do impacto potencial, a falha não pode ser explorada contra qualquer visitante do site. O ataque exige que um administrador esteja conectado ao painel do WordPress e carregue o link criado pelo criminoso.
Esse requisito reduz o alcance automático da vulnerabilidade, mas não elimina o risco. Técnicas de engenharia social, mensagens falsas, convites para revisar conteúdos e notificações forjadas podem ser usadas para induzir um administrador a abrir o endereço. Em organizações com vários usuários privilegiados, a superfície de ataque tende a ser maior.
O invasor também pode tentar esconder a natureza do endereço usando encurtadores, redirecionamentos, domínios parecidos com os oficiais ou páginas que imitam sistemas internos. Por isso, a necessidade de interação do administrador não deve ser confundida com uma proteção suficiente.
Possíveis consequências para o site
A instalação não autorizada de um tema pode permitir que o atacante altere a aparência do site, crie páginas falsas, insira scripts maliciosos ou modifique arquivos da aplicação. Dependendo das permissões disponíveis e das configurações do ambiente, o tema comprometido pode servir como ponto de entrada para ações ainda mais graves.
Entre os possíveis efeitos estão o roubo de sessões, a captura de credenciais, o redirecionamento de visitantes, a distribuição de malware e a criação de contas administrativas adicionais. Em servidores mal configurados, uma invasão iniciada no WordPress também pode afetar outros arquivos e aplicações hospedados no mesmo ambiente.
A severidade máxima atribuída à cadeia completa está relacionada justamente à possibilidade de transformar uma ação aparentemente limitada em execução de código no servidor. Esse tipo de comprometimento pode permitir que o criminoso mantenha persistência mesmo depois de o tema malicioso ser removido.
Versões corrigidas
A correção principal foi disponibilizada no WordPress 7.1.1. O projeto também publicou atualizações equivalentes para as linhas ainda mantidas, com versões de correção retroativas até a série 4.7. Um identificador CVE deverá ser associado formalmente ao problema.
Administradores devem confirmar a versão instalada, verificar se o atualizador automático concluiu o processo e revisar os registros de atualização. Sites que não podem ser atualizados imediatamente precisam adotar medidas temporárias de contenção, como restringir o acesso ao painel administrativo e reduzir a quantidade de contas com privilégios elevados.
Também é recomendável remover usuários administrativos que não sejam mais necessários, exigir autenticação multifator e limitar o acesso ao painel por rede confiável ou VPN, quando possível.
O que fazer após a atualização
A instalação do patch não encerra a investigação em ambientes que possam ter sido expostos. É importante examinar temas instalados recentemente, arquivos modificados, novas contas de usuário e alterações inesperadas em configurações do WordPress.
Equipes responsáveis devem procurar sinais como mudanças em arquivos PHP, tarefas agendadas desconhecidas, chamadas externas suspeitas, redirecionamentos inseridos no código e movimentações incomuns no painel. Logs do servidor web, do WordPress e do sistema operacional podem ajudar a identificar o horário e a origem de acessos suspeitos.
Se houver indícios de exploração, recomenda-se alterar as senhas administrativas, invalidar sessões ativas, renovar chaves e tokens utilizados pela aplicação e revisar as credenciais de banco de dados. Em casos mais graves, pode ser necessário restaurar o site a partir de uma cópia confiável e comparar os arquivos atuais com uma versão íntegra.
Prevenção contra ataques semelhantes
Além de manter o WordPress atualizado, a redução do risco depende de uma política adequada de privilégios. Usuários que apenas publicam textos não devem possuir permissões para instalar temas ou editar código. A separação de funções limita o impacto caso uma conta seja comprometida.
A equipe também deve tratar links recebidos por e-mail e sistemas de mensagens como possíveis vetores de ataque. Endereços que solicitam revisão urgente, validação de conta ou instalação de recursos devem ser verificados por outro canal antes de serem acessados.
Até a divulgação da pesquisa, não havia evidências de exploração da Click2Shell em ataques reais. Mesmo assim, a combinação entre baixa complexidade operacional e a necessidade de apenas convencer um administrador a abrir um link torna a atualização urgente. Organizações não devem esperar o surgimento dos primeiros casos confirmados para aplicar a correção.