WordPress a publié la version 7.1.1 afin de corriger onze vulnérabilités de sécurité, dont une chaîne d’attaque particulièrement préoccupante baptisée Click2Shell. Le scénario repose sur un lien spécialement conçu : lorsqu’un administrateur déjà connecté l’ouvre, le navigateur peut être amené à installer et prévisualiser automatiquement un thème provenant du répertoire officiel WordPress.org.

La vulnérabilité du cœur ne permet pas, à elle seule, de téléverser librement une archive malveillante. Toutefois, des chercheurs de pwn.ai ont démontré qu’elle pouvait être combinée à une faiblesse distincte dans un thème disponible sur WordPress.org. Cet enchaînement transforme alors une installation forcée en exécution de code à distance sur le serveur.

Qu’est-ce que la faille Click2Shell ?

Click2Shell exploite une différence d’interprétation d’une même URL entre le service WordPress.org et le code JavaScript exécuté dans le navigateur de l’administrateur. D’un côté, le répertoire traite une partie de l’adresse comme le nom ordinaire d’un thème. De l’autre, le navigateur réutilise la valeur complète dans un sélecteur chargé d’identifier l’élément correspondant sur la page.

En ajoutant des caractères soigneusement choisis à l’URL, un attaquant peut détourner cette logique et faire cibler le bouton d’installation. Le script de WordPress déclenche alors l’action en profitant de la session authentifiée de la victime. L’attaquant n’a donc pas besoin de connaître les identifiants de l’administrateur ni de posséder lui-même le jeton de sécurité requis.

Pourquoi la chaîne peut mener à une exécution de code

L’installation forcée concerne un thème légitime hébergé dans le catalogue officiel. Le thème reste inactif et l’apparence publique du site ne change pas nécessairement, ce qui rend l’opération difficile à remarquer. Cependant, un thème inactif n’est pas toujours totalement inerte : sa prévisualisation dans l’outil de personnalisation peut charger une partie de son code PHP.

Pour leur démonstration, les chercheurs ont utilisé le thème Mobile Repair Zone. Celui-ci comportait un gestionnaire en arrière-plan capable de récupérer un paquet depuis une adresse fournie dans une requête, puis d’en exécuter le contenu, sans contrôle suffisant des permissions ni jeton anti-CSRF. Une fois ce thème installé par Click2Shell, cette seconde faiblesse pouvait être sollicitée pour prendre le contrôle du serveur.

Il est donc important de distinguer les deux niveaux de risque. L’installation forcée a reçu une note CVSS de 7,1 selon pwn.ai. La chaîne complète, qui ajoute la vulnérabilité du thème et aboutit à l’exécution de code, atteint 9,6 sur 10, soit un niveau critique. Aucun identifiant CVE n’avait encore été attribué lors de la publication des premiers détails.

Quelles versions de WordPress sont concernées ?

Le problème Click2Shell affecte WordPress à partir de la branche 6.0 jusqu’aux versions précédant les correctifs du 17 septembre 2026. La correction principale est intégrée à WordPress 7.1.1. Des mises à jour de sécurité ont également été rétroportées vers les branches encore prises en charge, jusqu’à WordPress 4.7 selon les vulnérabilités concernées.

Les installations en version 4.6 ou antérieure ne reçoivent plus de mises à jour de sécurité. Elles doivent être considérées comme obsolètes et migrées vers une branche maintenue. Pour un site resté sur une ancienne série compatible, l’administrateur doit installer la dernière révision de sécurité proposée pour cette série, et non supposer que seule la branche 7.1 est protégée.

WordPress 7.1.1 corrige onze problèmes de sécurité

Click2Shell est la faille la plus spectaculaire de cette publication, mais la mise à jour traite dix autres problèmes. WordPress mentionne notamment plusieurs vulnérabilités XSS stockées, une traversée de répertoires authentifiée dans le contrôleur REST des modèles, un écrasement arbitraire de publication accessible à un compte contributeur et différentes insuffisances de contrôle d’autorisation.

une injection de script via wpautop(), sous réserve de l’approbation du commentaire ;
une sortie possible d’un commentaire HTML dans l’API HTML ;
un XSS stocké dans certains thèmes prenant en charge les en-têtes personnalisés ;
une traversée de chemin authentifiée dans l’API REST des modèles ;
un écrasement arbitraire d’article par un utilisateur disposant au minimum du rôle contributeur ;
des divulgations d’informations relatives à des contenus privés, brouillons ou en attente ;
des contrôles insuffisants concernant XML-RPC, les extensions réseau et le rattachement des commentaires.

La version 7.1.1 apporte en parallèle 17 corrections dans le cœur et 19 dans l’éditeur de blocs, d’après l’annonce officielle. Il s’agit d’une version à cycle court, mais son caractère sécuritaire justifie une installation immédiate après les vérifications habituelles de compatibilité et de sauvegarde.

Comment protéger son site WordPress

WordPress et pwn.ai n’ont pas publié de solution de contournement distincte. La mesure prioritaire consiste donc à mettre à jour le cœur. Le scénario démontré nécessite qu’un administrateur authentifié ouvre le lien piégé, mais cette condition ne doit pas être interprétée comme une protection suffisante : l’hameçonnage ciblé reste une technique courante contre les équipes chargées de sites web.

effectuer une sauvegarde vérifiée de la base de données et des fichiers ;
installer WordPress 7.1.1 ou la dernière version corrigée de la branche utilisée ;
confirmer la réussite de la mise à jour depuis le tableau de bord et contrôler les journaux ;
inventorier les thèmes installés, y compris ceux qui sont désactivés, puis supprimer ceux qui ne servent plus ;
mettre à jour séparément les extensions et les thèmes, car le correctif du cœur ne répare pas leurs propres failles ;
sensibiliser les administrateurs aux liens reçus par courriel, messagerie ou ticket de support ;
réserver les comptes administrateurs aux tâches de maintenance et utiliser un compte moins privilégié au quotidien.

Quels indices rechercher après une suspicion ?

Les équipes techniques peuvent examiner l’apparition récente de thèmes inattendus, même s’ils ne sont pas activés, ainsi que les actions d’installation et de prévisualisation réalisées par des comptes administrateurs. Il convient aussi de rechercher des fichiers PHP nouveaux ou modifiés, des comptes inconnus, des tâches planifiées inhabituelles, des connexions sortantes suspectes et des changements dans les options sensibles du site.

Si une compromission est suspectée, une simple désactivation du thème ne suffit pas. Il faut isoler l’instance, préserver les journaux, comparer les fichiers avec des copies fiables, renouveler les secrets WordPress et les mots de passe, puis restaurer depuis une sauvegarde saine si l’intégrité du serveur ne peut pas être garantie.

Une mise à jour à traiter en priorité

Aucune exploitation active de Click2Shell n’avait été signalée lors de sa divulgation. Cette absence ne réduit toutefois pas l’urgence : les détails techniques sont désormais publics et la faille touche le cœur de WordPress. Les organisations qui administrent plusieurs sites doivent identifier rapidement les versions exposées, déployer les correctifs et vérifier que les mises à jour automatiques ont réellement abouti.