La falla de Click2Shell en WordPress permite a los atacantes obtener RCE con un solo enlace malicioso

Se está instando a los administradores de WordPress a que se actualicen después de que los investigadores revelaran Click2Shell, una cadena de exploits que puede convertir un enlace malicioso en ejecución remota de código (RCE) en un sitio web vulnerable. El problema comienza con una debilidad de vista previa del tema WordPress Core que instala silenciosamente un tema seleccionado por el atacante desde el directorio oficial, y luego se convierte en un compromiso del servidor cuando se encadena con un código de preactivación inseguro en un tema.

WordPress abordó la falla principal en la versión 7.1.1, lanzada el 17 de septiembre de 2026, como parte de una actualización que contiene 11 correcciones de seguridad, 17 correcciones de errores principales y 19 correcciones del editor de bloques. El aviso oficial describe el problema como URL especialmente diseñadas que instalan y previsualizan automáticamente un tema inactivo de WordPress.org, da crédito a Paulos Yibelo y pwn.ai, y recomienda actualizaciones inmediatas. Vulnerabilidad de WordPress Click2Shell La sesión autenticada del administrador proporciona la capacidad de instalación y el nonce, lo que permite que WordPress JavaScript de confianza realice la acción confidencial en nombre del atacante. La API de temas de WordPress.org canonicaliza la entrada suministrada en un slug de catálogo válido, mientras que el navegador del administrador conserva la puntuación original y la inserta en un selector jQuery.

WordPress dijo que las correcciones se respaldaban cuando era necesario en las sucursales compatibles con la seguridad hasta la versión 4.7, aunque solo se admite activamente la última versión. Potencia tu SOC con un contexto IoC instantáneo para una respuesta inmediata: integra la búsqueda de TI en tu SOC La publicación Click2Shell WordPress Flaw permite a los atacantes obtener RCE con un solo enlace malicioso apareció por primera vez en Cyber Security News.

Consultar publicación original ↗