Click2Shell : WordPress 7.1.1 patche un RCE pré-auth dans le core

Ce qui s'est passé

L'équipe de recherche pwn.ai a publié le 18 septembre 2026 les détails techniques de Click2Shell, une nouvelle chaîne d'exploitation ciblant le cœur de WordPress. La faille, corrigée la veille dans WordPress 7.1.1, permet à un attaquant non authentifié de déclencher l'installation forcée d'un thème de son choix sur n'importe quel site WordPress vulnérable, sans nécessiter de clic de la part d'un administrateur. Combinée avec une faiblesse dans le thème installé, cette capacité peut être chaînée pour aboutir à une exécution de code arbitraire sur le serveur cible.

Sur le plan technique, Click2Shell exploite une insuffisance de validation des requêtes dans le mécanisme de gestion des thèmes du core WordPress. En forgeant une requête HTTP spécialement construite, un attaquant peut déclencher le téléchargement et l'activation partielle d'un thème hébergé sur le répertoire officiel WordPress.org ou tout dépôt accessible publiquement. Le thème installé reste désactivé dans l'interface — la présentation du site n'est pas modifiée — ce qui rend l'activité malveillante difficile à détecter visuellement par l'administrateur du site.

La dangerosité de Click2Shell réside dans son caractère modulaire. La première étape — l'installation forcée du thème — ne constitue pas en elle-même une exécution de code. C'est la combinaison avec une vulnérabilité dans le thème installé qui permet le RCE. Les chercheurs de pwn.ai ont démontré la chaîne complète en utilisant un thème du répertoire officiel WordPress.org comportant une faille de type file upload non sécurisé. Cette approche en deux temps est plus difficile à détecter par les solutions de sécurité qui analysent chaque requête isolément.

Click2Shell diffère de wp2shell, une autre vulnérabilité WordPress core divulguée en juillet 2026. Contrairement à wp2shell qui permettait une exécution de code directe sans authentification et avait été ajoutée au catalogue KEV de la CISA, Click2Shell requiert une étape supplémentaire — la chaîne avec un thème vulnérable — et n'a pas encore été signalée comme exploitée dans la nature. Cette distinction est importante pour la priorisation des mises à jour, même si l'équipe de sécurité WordPress recommande une mise à jour immédiate dans les deux cas.

WordPress 7.1.1 a été publié le 17 septembre 2026 comme une version de sécurité dédiée, sans autres modifications fonctionnelles. L'équipe de sécurité WordPress avait été notifiée par pwn.ai dans le cadre d'un processus de responsible disclosure, et le correctif a été développé et déployé en moins de 72 heures après la notification initiale — un délai remarquablement court pour un projet open source de cette échelle. La mise à jour est disponible via le mécanisme de mise à jour automatique standard de WordPress, et les sites configurés pour les mises à jour automatiques des versions mineures devraient déjà être protégés.

Les sites WordPress dont le gestionnaire d'hébergement a désactivé les mises à jour automatiques, ou qui font tourner des thèmes ou plugins incompatibles nécessitant une validation manuelle, restent vulnérables. Avec plus de 500 millions de sites fonctionnant sous WordPress selon les estimations de marché, et en supposant que même un faible pourcentage ne soit pas encore mis à jour, la surface d'exposition potentielle est significative. Les hébergeurs spécialisés WordPress (WP Engine, Kinsta, Flywheel, SiteGround) ont généralement déployé les correctifs de manière proactive sur les infrastructures qu'ils gèrent.

Le code de preuve de concept de pwn.ai n'a pas été rendu public dans son intégralité. Les chercheurs ont toutefois partagé suffisamment de détails techniques pour permettre aux équipes de sécurité défensives de développer des règles de détection basées sur les patterns de requête anormaux associés à l'installation forcée de thème. Des signatures WAF ont été publiées par plusieurs acteurs de la sécurité applicative dans les heures suivant la divulgation, selon les informations disponibles dans la communauté de sécurité WordPress.

L'équipe Automattic, société derrière WordPress.com et principal contributeur au projet WordPress open source, a également déployé des mesures de mitigation supplémentaires au niveau de son infrastructure pour les sites hébergés sur WordPress.com, en complément du correctif dans le core. Les installations WordPress auto-hébergées (self-hosted) dépendent intégralement de la mise à jour vers la version 7.1.1 comme seul vecteur de correction.

Pourquoi c'est important

Click2Shell illustre une tendance préoccupante dans l'écosystème WordPress : la surface d'attaque du core s'étend avec chaque nouvelle fonctionnalité, et les chaînes d'exploitation multi-étapes deviennent plus sophistiquées. WordPress anime environ 43 % des sites web mondiaux selon les dernières estimations de W3Techs, ce qui en fait la cible la plus attractive pour les acteurs malveillants cherchant à compromettre des sites à grande échelle. Une vulnérabilité pré-authentifiée dans le core — même requérant une chaîne — est une annonce suffisamment grave pour justifier une réponse immédiate de la part de tout responsable technique ou hébergeur.

La nature modulaire de Click2Shell — installer un thème sans déclencher d'alerte visuelle, puis exploiter ce thème séparément — reflète une sophistication croissante des techniques d'exploitation ciblant les CMS. Cette approche en deux temps est conçue pour contourner les systèmes de détection qui cherchent des comportements malveillants immédiats plutôt que des préparatifs discrets. Pour les équipes de sécurité opérant des sites WordPress, cela renforce l'importance de surveiller non seulement les tentatives d'exploitation directes, mais aussi les installations inattendues de thèmes, même dans les interfaces d'administration.

L'écosystème WordPress a connu une année 2026 particulièrement chargée en termes de vulnérabilités critiques : wp2shell en juillet, plusieurs failles critiques dans des plugins à large diffusion (WooCommerce, Elementor, Yoast SEO), et maintenant Click2Shell en septembre. Cette accumulation suggère que la recherche en sécurité offensive se concentre de manière accrue sur WordPress, à la fois en raison de sa part de marché dominante et de la complexité croissante de ses interactions core/plugins/thèmes. Les équipes de sécurité devraient envisager des audits de sécurité WordPress réguliers comme composante standard de leur programme de gestion des risques applicatifs.

Pour les agences web et les développeurs qui maintiennent des installations WordPress pour des clients, Click2Shell souligne la nécessité de processus de mise à jour robustes avec SLAs définis. La fenêtre entre la publication d'un correctif et son déploiement effectif représente une période de risque élevé, particulièrement pour des failles pré-authentifiées. Les outils de gestion centralisée de mises à jour WordPress (ManageWP, MainWP, InfiniteWP) permettent de déployer des correctifs de sécurité sur des centaines de sites en quelques minutes et méritent d'être intégrés dans tout processus de gestion WordPress professionnel.

Ce qu'il faut retenir

• Mettre à jour toutes les installations WordPress vers la version 7.1.1 en urgence — Click2Shell affecte toutes les versions antérieures du core WordPress.
• Vérifier les thèmes installés sur vos sites WordPress, notamment les thèmes récemment apparus que vous n'avez pas installés manuellement — cela pourrait indiquer une exploitation préalable de Click2Shell.
• Activer les mises à jour automatiques pour les versions de sécurité WordPress si ce n'est pas encore le cas : cette configuration aurait protégé automatiquement les sites concernés sans intervention manuelle.