В ядре WordPress обнаружили уязвимость Click2Shell, позволяющую принудительно устанавливать темы из официального каталога WordPress.org.

Уязвимость связана с механизмом установки тем: атакующий может инициировать установку произвольной темы без ведома администратора сайта. Исследователи подчёркивают, что сама по себе эта возможность не даёт прямой компрометации, но создаёт опасный вектор атаки.

Ключевой риск возникает при сочетании Click2Shell с уязвимостью в уже установленной или только что установленной теме. В таком сценарии злоумышленник получает возможность удалённого выполнения произвольного PHP-кода на сервере.

Предыстория такова: WordPress давно известен как популярная цель для атак из-за массовости и большого количества сторонних расширений. Уязвимости в темах и плагинах регулярно становятся каналом для компрометации сайтов.

Реакция сообщества пока ограничивается предупреждениями исследователей и рекомендациями следить за обновлениями. Владельцам сайтов стоит оперативно устанавливать патчи и внимательно относиться к составу установленных тем.