WordPress Click2Shell: gepatchte Schwachstelle installiert inaktiv ein Theme – kritische Kette zur Codeausführung

LONDON (IT BOLTWISE) – WordPress hat mit Version 7.1.1 Patches für eine neue Sicherheitslücke veröffentlicht, die über speziell konstruierte URLs ohne Klick ein Theme aus WordPress.org installiert. Laut Forschern von pwn.ai lässt sich die erzwungene Installation mit einer zusätzlichen Schwäche im installierten Theme zu Codeausführung auf dem Server kombinieren. WordPress stuft die Problematik als automatisch installier- und anzeigefähig ein, während die Forscher für die Einzelkomponente 7,1 und für die vollständige Angriffskette 9,6 (CVSS) angeben. Ein direktes Ausnutzen in realen Angriffen gilt derzeit als nicht belegt.

Die neue WordPress-Sicherheitslücke trägt den Namen Click2Shell und zielt auf einen ungewöhnlichen Mechanismus: Eine manipulierte URL kann dazu führen, dass ein WordPress-Administrator ein Theme installiert, ohne dass eine Schaltfläche wie „Installieren“ aktiv angeklickt wird. In der Meldung zu den Patches beschreibt WordPress, dass „special crafted URLs“ eine inaktive Theme-Installation sowie eine Vorschau auslösen können. Entscheidend für den Realitätscheck: Selbst wenn das Theme installiert wird, bleibt es zunächst „switched off“, sodass das äußere Erscheinungsbild der Seite typischerweise unverändert bleibt. Dadurch sinkt die Wahrscheinlichkeit, dass ein Administrator den Angriff sofort visuell bemerkt.

Technisch setzt die Angriffsmöglichkeit auf einem Zusammenspiel zweier Teile von WordPress auf, die die gleiche Link-Eingabe unterschiedlich interpretieren. Das Verzeichnis WordPress.org behandelt den Wert in der URL als normalen Theme-Namen und liefert daraus ein echtes Theme zurück. Im Browser des eingeloggten Administrators dagegen wird derselbe Text in Code eingesetzt, der wiederum das Ziel im Dokument auswählt, einschließlich Satzzeichen, Leerzeichen und weiterer Zeichen aus der ursprünglichen URL. Ergänzt ein Angreifer in der URL passende Zeichen, werden daraus Anweisungen, die am Ende bei der Install-Schaltfläche landen – und WordPress’ eigenes Skript triggert die Aktion automatisch. Weil der Administrator bereits authentifiziert ist, stellt die Session die nötigen Berechtigungen und den Sicherheitsmechanismus bereit; der Angreifer muss diese Token nicht selbst liefern.

Allein betrachtet verursacht die Schwachstelle jedoch „nur“ die erzwungene Installation eines Theme-Pakets, das der Angreifer auswählt. Genau an dieser Stelle wird die Differenz zwischen Basisfehler und Angriffskette sichtbar: pwn.ai schreibt, „The Core bug does not accept an arbitrary theme ZIP by itself.“ Die Sicherheitslücke erlaubt also nicht beliebige ZIP-Dateien aus der URL heraus, sondern nutzt die Tatsache, dass ein installierbares Theme aus dem offiziellen Verzeichnis abrufbar ist. Damit wird die zweite Komponente zum Nadelöhr: Für Codeausführung auf dem Server muss im installierten Theme zusätzlich eine Schwachstelle existieren, die das Ausführen fremden Codes ermöglicht. Das von den Forschern verwendete Theme „Mobile Repair Zone“ enthielt dafür eine weitere Schwäche: Ein Handler lädt offenbar anhand einer Web-Adresse aus der Anfrage ein Paket nach und führt dessen Code aus, ohne die nötigen Berechtigungsprüfungen oder einen Sicherheits-Token-Check für den Zugriff zu berücksichtigen.

Besonders relevant ist außerdem, wie WordPress beim Erstellen einer Vorschau im Customizer arbeitet. In diesem Workflow kann WordPress PHP-Code eines Themes laden, bevor das Theme im Frontend offiziell aktiviert wird. Dadurch reicht die „inaktive“ Installation nicht immer als Schutzmaßnahme aus: In Verbindung mit dem zweiten Fehler kann der Schadcode bereits im Rahmen des Preview-Prozesses greifen. Die Forschenden bewerten die erzwungene Installationskomponente separat als hohe Schwere mit einem CVSS-Wert von 7,1. Für die vollständige Kettenkombination bis zur Codeausführung nennt pwn.ai einen kritischen Wert von 9,6. WordPress selbst hat laut Bericht keine eigene CVSS-Einstufung veröffentlicht, nennt aber als Folge speziell konstruierter URLs die automatische Installation und Vorschau eines inaktiven Themes aus dem offiziellen Verzeichnis.

Das zeitliche Bild ist für Betreiber ebenso wichtig wie die technischen Details: Der Fix wurde am 17. September in WordPress 7.1.1 bereitgestellt. Laut den veröffentlichten Hinweisen adressieren die Änderungen den Fehler über Version 6.0 hinweg bis zu den Releases unmittelbar vor dem Patch. WordPress empfiehlt als Sicherheits-Release ein sofortiges Update. Für Standorte, die mehrere Support-Zweige laufen lassen oder automatische Aktualisierungen nutzen, gilt entsprechend: Installieren Sie entweder 7.1.1 oder das dazugehörige Update für die jeweils verwendete Branch-Version, damit die demonstrierte Angriffskette geschlossen wird – unabhängig davon, welches Theme auf der Seite eingesetzt wird.

Auch wenn aktuell keine Hinweise auf echte Angriffe vorliegen, bleibt das Risiko operativ: Ohne direkten Fix existiert laut den Angaben sowohl von WordPress als auch von pwn.ai kein eigenständiger Workaround. Zudem bleibt die Angriffsfläche an einen eingeloggten Administrator gebunden; ein unautorisierter Nutzer kann die Links also nicht in derselben Weise ausnutzen. Für die Planung bedeutet das: Die Sicherheitsverantwortlichen sollten nicht nur auf die WordPress-Core-Version achten, sondern zugleich die Update-Disziplin bei Themes und Plugins prüfen, insbesondere wenn Themes aus unbekannten Quellen oder mit eigener Build- und Deployment-Pipeline im Einsatz sind. Dass Click2Shell dabei kein Einzelfall ist, zeigt der Blick zurück: Im August wurde bereits eine ähnliche, durch pwn.ai offenbarte Schwachstelle im Login-Bereich gepatcht, die ebenfalls in Richtung Codeausführung verkettet werden konnte. Daneben wird ein älterer Fehler namens wp2shell erwähnt, der nicht mit Click2Shell zusammenhängt und laut der US-Behörde CISA als ausgenutzt gilt – für Click2Shell selbst wird dieses „ausgenutzt“-Signal derzeit gerade nicht bestätigt.

💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!

🤖 Alle KI-Gadgets auf Amazon ansehen!

152 Bewertungen

Sense Robot Go KI-Go-Brett mit Roboterarm – Automatische Steinplatzierung, interaktives Lernen, Spielwiederholung – Intelligenter Weiqi-Trainer für Kinder & Erwachsene

• ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.

Bei Amazon entdecken

334 Bewertungen

ENERGIZE LAB Eiliko Coral Pink - Ihr winziger KI-Charm-Roboter, der zu jedem täglichen Outfit passt, lustiges elektronisches Anhängerspielzeug, für Paare und beste Freunde

• IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.

79,90 EUR

Bei Amazon entdecken

1.501 Bewertungen

Eilik – Interaktiver Desktop Roboter mit Persönlichkeit, lebendigen Animationen & Reaktionen, Touch-Steuerung, Mini-Spiele, emotionaler Roboter Freund und besonderes Geschenk für Kinder & Erwachsene

• 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.

169,00 EUR

Bei Amazon entdecken

53 Bewertungen

Plantbot Upgraded Large Smart Flower Pot Pet Planter Robot with Artificial Intelligence, Time Temperature Display, and Numerous Expressive Animations Based, for Indoor Decoration, Gifts (White)

• 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.

Bei Amazon entdecken

946 Bewertungen

Loona KEYI Premium Haustier-Roboter mit Ladestation (Smarte AI ChatGPT-4o, Stimmen- & Gestensteuerung, Echtzeit-Interaktion, Heimüberwachung)

• V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.

545,42 EUR

Bei Amazon entdecken

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note Pro KI-Diktiergerät für Notizen & Zusammenfassung (Schwarz)

189,00 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

OOONO Co-Driver NO2 Schwarz- Optimierter Co-Driver fürs Auto - Warnt vor Tempo-Kontrollen und Gefahrenstellen – Wiederaufladbar – LED-Anzeige – CarPlay & Android Auto kompatibel

60,00 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

TOSY Flying Disc – 108 RGB-LEDs mit 16 Mio. Farben, sehr hell, Smart-Modi, Auto-Aufleuchten, wiederaufladbar, wasserdicht, Outdoor-Spielzeug für Kinder & Erwachsene, 175 g

34,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KEZKALS Geschenke für Männer, 2pack-9 IN 1 Kugelschreiber, Männergeschenke

11,69 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder KI-Diktiergerät für Profis & Teams (Grau)

169,90 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!