Click2Shell: RCE in WordPress, aggiorna a 7.1.1

Una nuova vulnerabilità critica sta mettendo in allerta milioni di amministratori WordPress in tutto il mondo. Si chiama Click2Shell e, a differenza di molte falle di sicurezza che colpiscono singoli plugin, questa volta il problema risiede direttamente nel WordPress Core. Basta un singolo clic da parte di un amministratore autenticato per innescare una catena di eventi che può portare a Remote Code Execution (RCE), ovvero l’esecuzione di codice malevolo sul server. In questo articolo vediamo cosa sappiamo, come funziona l’attacco e, soprattutto, cosa fare subito per proteggere il tuo sito.

Cos’è la vulnerabilità Click2Shell

Click2Shell è il nome assegnato a una vulnerabilità divulgata di recente che sfrutta il flusso di preview e installazione dei temi all’interno dell’interfaccia di amministrazione di WordPress. L’attaccante costruisce un URL appositamente malevolo che, se cliccato da un amministratore con una sessione attiva, avvia un processo capace di installare o attivare un tema contenente codice dannoso.

Il meccanismo ricorda da vicino un attacco di tipo CSRF (Cross-Site Request Forgery) combinato con tecniche di abuso dell’interfaccia utente (UX abuse). Non serve che l’amministratore inserisca credenziali o compia azioni complesse: è sufficiente un clic su un link apparentemente innocuo mentre la sessione di accesso è ancora valida.

• Vettore d’attacco: URL malevolo legato al flusso di installazione/preview tema
• Condizione necessaria: sessione amministrativa attiva nel browser
• Esito possibile: esecuzione di codice PHP arbitrario sul server

Il problema è stato corretto con il rilascio di WordPress 7.1.1, pubblicato il 17 settembre 2026. Diverse testate specializzate, tra cui SecurityWeek, The Hacker News e BleepingComputer, hanno documentato la patch e ricostruito la catena d’attacco nei dettagli.

Perché questa vulnerabilità è così pericolosa

Al momento della divulgazione non risultava un CVE universalmente assegnato né un punteggio CVSS pubblico ufficiale, ma questo non ha rallentato la diffusione di proof-of-concept (PoC). Anzi, sono apparse rapidamente evidenze di sfruttamento pubblico, riducendo drasticamente la finestra di sicurezza per i siti non aggiornati.

Considerando che WordPress alimenta milioni di siti web in tutto il mondo, l’impatto potenziale è enorme. Qualsiasi sito con amministratori attivi e non ancora aggiornato alla versione 7.1.1 è esposto al rischio. Questo include:

• Blog aziendali e personali
• E-commerce basati su WooCommerce
• Portali istituzionali e governativi
• Siti multi-autore con diversi livelli di accesso amministrativo

Il punto debole, in questo caso, non è tecnico in senso stretto ma comportamentale: basta che un amministratore clicchi un link ricevuto via email, chat o commento per innescare l’attacco.

Azioni urgenti per amministratori e sviluppatori

Se gestisci uno o più siti WordPress, la priorità assoluta è aggiornare. Ecco le azioni da intraprendere, in ordine di importanza.

1. Aggiorna subito WordPress Core

Questa è la mitigazione prioritaria e definitiva. Puoi farlo tramite il pannello wp-admin oppure da riga di comando con WP-CLI:

wp core update --version=7.1.1

Ricorda di aggiornare anche tutti i plugin e i temi installati, preferendo l’aggiornamento automatico negli ambienti controllati.

2. Mitigazioni temporanee se non puoi aggiornare subito

Nel caso in cui l’aggiornamento immediato non sia possibile, puoi ridurre il rischio con queste contromisure:

• Aggiungi nel file wp-config.php:
  
  define('DISALLOW_FILE_MODS', true); — disabilita installazione e aggiornamento di temi/plugin
  
  define('DISALLOW_FILE_EDIT', true); — disabilita l’editor di file dal backend
• Limita l’accesso a wp-admin tramite whitelist IP, VPN o restrizioni via .htaccess
• Avvisa tutti gli amministratori di non cliccare link sospetti ricevuti via email o messaggi

3. Rafforza i controlli di accesso

Il principio del minimo privilegio è fondamentale per ridurre la superficie d’attacco:

• Attiva l’autenticazione a due fattori (2FA) per tutti gli account amministrativi
• Rimuovi o declassa gli account con privilegi non necessari
• Invalida le sessioni amministrative sospette o non più in uso

Come individuare una possibile compromissione

Se temi che il tuo sito sia già stato colpito, è importante agire con metodo. Ecco alcuni controlli da effettuare:

• File modificati di recente: cerca file sospetti nei temi con un comando come
  
  find wp-content/themes -type f -mtime -7 -ls
• Funzioni PHP pericolose: cerca pattern tipici delle webshell con
  
  grep -RIn -e "eval(" -e "base64_decode(" -e "system(" -e "shell_exec(" .
• Cron job sospetti e task pianificati non riconosciuti
• Permessi anomali sulla cartella wp-content e integrità del file wp-config.php

È utile anche integrare strumenti di File Integrity Monitoring (FIM) come AIDE o Tripwire, oppure plugin WordPress dedicati all’audit, per individuare tempestivamente modifiche non autorizzate.

Cosa fare in caso di compromissione confermata

Se trovi segnali concreti di un attacco riuscito, la risposta deve essere rapida e strutturata:

1. Metti il sito offline o in modalità manutenzione
2. Conserva i log del server e del PHP per un’eventuale analisi forense
3. Ripristina da un backup pulito e verificato, se disponibile
4. Cambia tutte le password amministrative, le chiavi API e le credenziali FTP/SSH
5. Rigenera i salt di sicurezza nel file wp-config.php
6. Cerca e rimuovi eventuali webshell nascoste nel server
7. Informa il provider di hosting e, se necessario, contatta specialisti di incident response

Conclusione

La vulnerabilità Click2Shell dimostra ancora una volta quanto sia importante mantenere WordPress sempre aggiornato, soprattutto quando il problema riguarda il Core e non un singolo plugin. L’aggiornamento alla versione 7.1.1 resta la soluzione più efficace e immediata per chiudere questa falla di sicurezza.

Nel frattempo, adottare buone pratiche di hardening, limitare i privilegi amministrativi, attivare la 2FA e monitorare costantemente l’integrità dei file sono passi fondamentali per ridurre il rischio. Chi gestisce più siti o infrastrutture di hosting condiviso dovrebbe dare priorità assoluta ai siti con amministratori attivi, per evitare che una singola compromissione diventi un vettore di attacco verso altri ambienti.

La sicurezza di WordPress è una responsabilità condivisa tra sviluppatori, amministratori e hosting provider: restare aggiornati sulle ultime vulnerabilità e agire tempestivamente è l’unica strategia davvero efficace contro minacce come Click2Shell.