Click2Shell: קישור אחד למנהל אתר WordPress הספיק כדי להתקין תבנית ולהריץ קוד

מנהל אתר WordPress שמחובר לממשק הניהול לוחץ על קישור שנראה תמים. הוא עלול להתקין באתר שלו תבנית בלי לדעת. WordPress שחררה ב-17 בספטמבר 2026 את גרסה 7.1.1, שסוגרת 11 חולשות אבטחה. אחת מהן היא הבסיס לשרשרת התקיפה Click2Shell.

החוקרים מ-pwn.ai, שגילו אותה, פרסמו ב-18 בספטמבר את הפרטים המלאים. הפרסום כולל הדגמה שמסתיימת בהרצת קוד PHP על השרת.

איך Click2Shell מתקין תבנית מאחורי הגב של המנהל

ב-WordPress יש מסך שמאפשר לצפות בתבנית מהמאגר הרשמי לפני שמתקינים אותה. הכתובת של המסך מקבלת את שם התבנית כפרמטר. לפי הדוח של pwn.ai, השרת מנקה את הערך ומתרגם אותו לשם תקין. אבל הקוד שרץ בדפדפן ממשיך להשתמש בערך המקורי.

הוא מחפש בו את כרטיס התבנית בעמוד. תוקף שמכניס לקישור תווים מיוחדים יכול לגרום לחיפוש הזה להגיע לכפתור ההתקנה האמיתי. החיפוש לוחץ עליו באופן אוטומטי.

ההתקנה מתבצעת בשם המנהל, עם ההרשאות שלו והחיבור הפעיל שלו. התוקף לא צריך חשבון באתר. התבנית החדשה נשארת לא פעילה, ולכן מראה האתר לא משתנה וקשה לשים לב שמשהו קרה.

החוקרים מדגישים שהקורבן צריך להיות מנהל שמחובר לאתר ונכנס לקישור. לדבריהם, אין צורך בלחיצה נוספת מעבר לכך.

למה גם תבנית לא פעילה היא בעיה ב-Click2Shell

לבדה, החולשה בליבת WordPress מאפשרת להתקין רק תבנית מהקטלוג הרשמי. היא לא מאפשרת להתקין קבצים של התוקף. pwn.ai העריכה את Click2Shell בציון 7.1 בסולם CVSS, המדד המקובל לחומרת חולשות. הציון המקסימלי בסולם הוא 10.

הבעיה מתחילה כשמשלבים אותה עם תבנית שיש בה חור משלה. בהדגמה החוקרים השתמשו בתבנית mobile-repair-zone בגרסה 2.5.4. הקוד שלה נטען בזמן תצוגה מקדימה בכלי ההתאמה (Customizer) גם כשהיא לא פעילה. הקוד כולל פעולה שמורידה תוסף מכתובת שהתוקף בוחר ומריצה אותו.

הפעולה פועלת בלי לבדוק הרשאות ובלי אסימון אבטחה. כך נוצרת שרשרת: הקישור מתקין את התבנית הפגיעה, והתבנית מורידה ומפעילה קוד של התוקף. החוקרים מעריכים את השרשרת המלאה בציון 9.3. לטענתם, מעל 40 תבניות של צד שלישי במאגר סובלות מבעיה דומה.

משמעות הרצת קוד כזו היא גישה לקובץ ההגדרות wp-config.php ולסיסמת מסד הנתונים. התוקף יכול גם ליצור משתמשים, לשנות את התוכן ובפועל לשלוט באתר.

לפי ציר הזמן שפרסמה pwn.ai, החוקרים דיווחו על החולשה ל-WordPress ב-22 באוגוסט. ב-1 בספטמבר הם העבירו את השרשרת המלאה. התיקון נכלל ב-7.1.1.

החוקרים מציינים שעבדו עם מערכת אוטומטית משלהם, עם Claude Opus 5 ועם חוקר אנושי. התיקון עצמו מגביל את החיפוש בעמוד לכרטיסי תבניות בלבד ומנטרל תווים מיוחדים בשם התבנית. בזמן הפרסום לא הוקצה לחולשה מספר CVE.

עוד עשר חולשות באותו עדכון

לפי רשימת השינויים הרשמית, 7.1.1 סוגרת גם חולשת XSS מאוחסנת. משתמש שלא התחבר יכול להפעיל אותה דרך תגובה, בתנאי שהתגובה מאושרת.

7.1.1 סוגרת גם שתי חולשות ש-Anthropic דיווחה עליהן. הראשונה היא דריסת פוסטים של אחרים על ידי משתמש בדרגת Contributor. השנייה היא path traversal בממשק ה-REST של התבניות.

כל 11 החולשות משפיעות על גרסאות 7.0 ו-6.7 עד 6.9. WordPress הוציאה תיקונים גם לענפים ישנים, כמו 7.0.5, 6.9.8, 6.8.9 ו-6.7.8. גרסה 4.6 ומטה כבר לא מקבלות עדכוני אבטחה.

מה קרה מאז: ב-22 בספטמבר יצאה גרסה 7.1.2 עם תיקון לחולשת path traversal. החולשה לא דורשת התחברות, ועלולה להוביל בתנאים מסוימים להרצת קוד. ב-6 באוקטובר יצאה 7.1.3.

עוד ב-GEEKLIK: Brevo נפרצה: הסקריפטים שלה הפיצו נוזקה לאתרי לקוחות וניסו להתקין תוסף זדוני ב-WordPress

מה הלאה

Click2Shell היא דוגמה לכך ששתי חולשות בינוניות יכולות להפוך יחד לפריצה חמורה. החולשה בליבה כבר קיבלה תיקון, אבל התבניות הפגיעות שמשלימות את השרשרת תלויות במפתחים שלהן. מי שמשתמש בתבנית מהמאגר החינמי צריך לעקוב אחרי העדכונים שלה. אם היא לא מתעדכנת, כדאי לשקול להחליף אותה.