Présentation

Le 17 septembre 2026, WordPress a publié la version 7.1.1 qui corrige une vulnérabilité du cœur du CMS. Cette faille, nommée Click2Shell par les chercheurs de pwn.ai, permet à un administrateur connecté d’ouvrir un lien spécialement formaté et d’installer automatiquement un thème depuis le répertoire officiel wordpress.org sans aucune interaction supplémentaire.

Mécanisme du bug

Le problème repose sur une incohérence de traitement du même URL entre le serveur WordPress.org et le navigateur de l’administrateur. Le serveur interprète le paramètre comme le nom d’un thème et renvoie le fichier ZIP correspondant. Simultanément, le script JavaScript de l’interface d’administration extrait le texte brut du lien, y compris les caractères de ponctuation ajoutés par l’attaquant, et le place dans le champ Install du formulaire. Le script déclenche alors un clic virtuel sur le bouton d’installation. La session active de l’administrateur fournit le jeton CSRF et les droits nécessaires, ce qui élimine toute vérification côté serveur.

Chaînage avec une faille de thème

Le thème installé reste inactif, mais WordPress le charge dans le Customizer pour générer un aperçu. Le thème utilisé par les chercheurs, Mobile Repair Zone, comporte une seconde vulnérabilité : un gestionnaire d’arrière‑plan qui lit une URL depuis la requête, télécharge un paquet et exécute son code sans valider les permissions ni le jeton de sécurité. Après l’installation forcée, ce gestionnaire est invoqué, télécharge le code malveillant et l’exécute sur le serveur, complétant ainsi la chaîne d’attaque.

Impact, notation et mitigation

pwn.ai a évalué la faille d’installation seule avec un score CVSS 7.1 (sévérité élevée) et la chaîne complète jusqu’à l’exécution de code avec un score critique de 9.6. Aucun CVE n’a encore été attribué, bien que WordPress prévoie d’en publier un. La vulnérabilité affecte les versions 6.0 et supérieures jusqu’à la version 7.1.0, avec des correctifs rétroportés aux branches supportées depuis la 4.7. Aucun contournement pratique n’est proposé ; la mitigation repose exclusivement sur la mise à jour immédiate vers 7.1.1 ou la branche équivalente. L’exploitation nécessite un administrateur connecté et l’ouverture d’un lien, ce qui limite le vecteur d’attaque mais ne le rend pas impossible. Les correctifs antérieurs de WordPress, notamment un bug similaire découvert en août 2026 sur l’écran de connexion, montrent une tendance à exploiter des incohérences d’interface pour déclencher des actions privilégiées.