WordPress heeft onlangs patches uitgebracht voor in totaal 11 beveiligingsproblemen. Eén daarvan staat extra in de spotlight door de mogelijke impact: Click2Shell WordPress kan in bepaalde gevallen uitmonden in remote code execution (RCE). De update die je direct wilt doorvoeren is WordPress 7.1.1.
De kwetsbaarheid kreeg (nog) geen CVE-nummer. In de aankondiging van WordPress wordt wel uitgelegd hoe de bug kan worden misbruikt via speciaal gemaakte URL’s die automatisch een inactief thema laten installeren en tonen. Daarmee lijkt het op het eerste gezicht misschien onschuldig, maar onderzoekers laten zien dat er wel degelijk risico’s zijn.
Wat is Click2Shell WordPress?
Click2Shell WordPress is een fout in de manier waarop WordPress een waarde uit een thema-preview-URL verwerkt. Die waarde wordt namelijk op twee plekken anders geïnterpreteerd: enerzijds door de thema-API, anderzijds door JavaScript in de browser van een beheerder.
Volgens de analyse blijft de browser de oorspronkelijke interpunctie behouden en plaatst die in een jQuery-selector. De API daarentegen “reduceert” de waarde tot een gewone thema-slug. Juist dat verschil kan worden benut.
Van URL naar thema-installatie
De kern van het misbruikscenario is dat een aanvaller een beheerder naar een passende URL kan lokken. Daardoor kan het systeem de installatie van een door de aanvaller gekozen thema starten en dat gebeurt vanuit de officiële WordPress.org catalog, zonder dat de beheerder daar toestemming voor geeft.
Belangrijk detail: het gaat om een inactief thema. Je zou dus denken dat dit geen directe code-uitvoering oplevert. Toch komt hier de twist: bepaalde thema’s (door derden ontwikkeld) blijken misbruikbaar.
Waarom inactieve thema’s toch gevaarlijk kunnen zijn
Onderzoek van pwn.ai (die de bug ontdekte en rapporteerde) laat zien dat er meer dan 40 derde-partijthema’s zijn waarvan code mogelijk kan worden misbruikt, zelfs wanneer zo’n thema normaal gesproken inactief zou moeten blijven.
De reden is dat WordPress tijdens de Customizer preview de PHP-code van het desbetreffende thema kan laden, ook als een ander thema op dat moment actief is. Met andere woorden: de preview-functionaliteit kan het “inactief” label praktisch omzeilen.
Misbruik van unprotected installers
Volgens pwn.ai kan een aanvaller, wanneer zo’n thema kwetsbaar is, de installatieketen gebruiken om naar een gemaakt pluginpakket te wijzen. Dat pakket kan vervolgens worden uitgevoerd onder de WordPress server account.
Daarmee wordt de stap gezet van “thema installeren” naar mogelijk RCE. Dit is precies waarom Click2Shell WordPress hoog op de prioriteitenlijst hoort te staan.
Is een WordPress-account nodig?
Nee. Dat is een van de meest alarmerende punten uit de technische toelichting. Geen WordPress-account van de aanvaller is nodig. Een enkele interactie is vaak genoeg: een gebruiker die ingelogd is als beheerder moet de URL bezoeken, en dan kan de aanvaller site-eigendom bereiken.
pwn.ai formuleert het in essentie als: één bezoek door een ingelogde gebruiker en de aanvaller heeft de controle. Daarmee wordt de aanval vooral een kwestie van social engineering en timing, niet van inloggegevens stelen of accounts aan te maken.
Hoe merk je dat er iets misgaat?
Het scenario kent nog een extra risico: een beheerder merkt mogelijk niet meteen dat er iets “abnormaals” gebeurt. Dat komt doordat het hoofdthema tijdens de exploit doorgaans actief blijft.
Daardoor kan het lijken alsof er niets is gewijzigd, terwijl er in de achtergrond toch een thema-installatie en preview-stappen plaatsvinden. In de praktijk betekent dit dat je niet alleen moet vertrouwen op visuele checks; je hebt monitoring nodig die installaties en wijzigingen in de tijdlijn kan duiden.
De patch: WordPress 7.1.1 (en oudere versies)
WordPress heeft Click2Shell WordPress gepatcht in versie 7.1.1. Daarnaast zijn ook de overige 10 gerapporteerde kwetsbaarheden meegenomen in die release.
Verder zijn fixes toegevoegd voor oudere WordPress-iteraties, tot en met WordPress 4.7. Dat is relevant als je site nog niet volledig is geüpgraded naar een moderne hoofdversie.
WordPress gaf daarbij ook aan pwn.ai een beloning van $300 te hebben toegekend. Dat is het maximum voor hun bug bounty-programma.
Wat kun je nu doen?
Als beheerder wil je snel en gestructureerd handelen. Denk aan de volgende stappen:
- Werk WordPress direct bij naar 7.1.1 (of naar de bijbehorende patched versie voor jouw branch).
- Controleer thema- en pluginwijzigingen in de periode vóór en rond de update (auditlog, bestanden, databasewijzigingen).
- Beperk de kans op misbruik via previews door verdachte URL’s te blokkeren en gebruikersbewustzijn te verhogen.
- Check kwetsbare third-party componenten: thema’s van derden kunnen vaker een groter risico vormen door de manier waarop hun PHP-code in previews wordt verwerkt.
Als je WordPress ook koppelt aan bredere supply-chain en plug-in risico’s, is het slim om daarnaast te kijken naar recente ontwikkelingen rond thema- en pluginmisbruik. Zo zijn er ook publicaties geweest over aanvallen waarbij WordPress-onderdelen worden misbruikt om ongewenste code te activeren, bijvoorbeeld in context van Plugin4Shell en AI-agent risico’s.
Waarom dit een “brede” waarschuwing is
Click2Shell WordPress gaat niet alleen over één bug. Het illustreert vooral hoe URL-gedreven workflow en frontend-versus-backend verwerking samen een onverwachte aanvalskans kunnen creëren.
Daarnaast laat de casus zien dat “inactief” niet altijd betekent “veilig”. In WordPress-specifieke UI-stromen (zoals Customizer preview) kunnen onverwachte paden ontstaan waardoor code tóch wordt geladen of uitgevoerd.
Tot slot benadrukt het scenario het belang van het beschermen van beheerders sessies en het beperken van de gevolgen van een “single visit” aanval. Dat thema zie je ook terug in andere dreigingen waarin gebruikers interactie met kwaadaardige content de sleutel vormt.
Conclusie
Click2Shell WordPress is een kwetsbaarheid die via speciaal gemaakte URL’s kan leiden tot het installeren en previewen van een door de aanvaller gekozen thema, met in bepaalde gevallen mogelijke PHP code execution en RCE als gevolg. De oplossing is helder: update naar WordPress 7.1.1 en voer daarna controle uit op thema- en pluginwijzigingen.
Wacht niet tot er een CVE-nummer verschijnt of tot aanvallen massaal zichtbaar worden. Neem de patch direct mee in je beheer- en hardeningproces, zodat je site niet afhankelijk blijft van “waarschijnlijk niet”-aannames.
Bron: https://www.securityweek.com/wordpress-patches-click2shell-vulnerability/
