WordPressのテーマ自動インストールの脆弱性Click2Shell
WordPressの2026年9月17日の発表では、細工したURLによってWordPress.orgの無効なテーマを自動でインストールし、プレビューさせられる問題があり、7.1.1で修正した［1］。報告者に挙げられたpwn.aiは、この問題を「Click2Shell」と呼び、脆弱なテーマとの連鎖でサーバー上でPHPを実行できたと説明した［3］。
脆弱性の内容
pwn.aiの技術詳細によると、テーマのプレビューURLの値は、WordPress.orgのThemes APIでは通常のテーマのスラッグに縮められる［3］。管理者のブラウザで動くJavaScriptは、同じ値の記号を残したままjQueryのセレクタに入れると説明した［3］。この解釈の違いだけで、認証されていない攻撃者が、管理者のサイトに公式カタログから攻撃者の選んだテーマをダウンロードさせ、インストールさせられる［3］。管理者はInstallもActivateも押さない［3］。
攻撃者にはインストールのnonceもinstall_themesの権限も要らず、WordPress自身のJavaScriptが管理者の持つ両方を使うとpwn.aiは説明した［3］。WordPressは、別のテーマが有効なままでも、カスタマイザーのプレビュー中にテーマのPHPを読み込む［3］。
| 項目 | 値 | 資料 |
|---|---|---|
| 強制インストール単体（pwn.aiの評価） | High、CVSS 3.1で7.1 | ［3］ |
| 実証した連鎖の全体（pwn.aiの評価） | Criticalと評価しうる、CVSS 3.1で9.3〔注1〕（UI:Rで影響を下げた値） | ［3］ |
| HKCERTのリスクの評価 | High Risk（攻撃者の認証は不要だが、ログイン中のサイト管理者が細工したURLを訪れる必要があるため） | ［6］ |
カタログのテーマの欠陥
pwn.aiは、当時カタログにあったテーマMobile Repair Zone 2.5.4に、別の脆弱性を見つけた［3］。WordPressで配布される40を超える第三者のテーマでも見つけたとした［3］。Mobile Repair Zone 2.5.4のコードは、nonceと権限の確認の無いAJAXハンドラを登録していた［3］。そのハンドラは攻撃者の選んだプラグインのパッケージのURLを受け取り、展開してそのPHPを読み込んだ［3］。
2つを組み合わせると攻撃者のWordPressのアカウントは要らず、ログイン中の利用者が1回訪れるだけで攻撃者がサイトを乗っ取れるとpwn.aiは説明した［3］。攻撃者のテーマはインストールされても有効にはならず、サイトの元のテーマは攻撃の間も有効のままになる［3］。
Patchstackは解説で、Click2ShellをCSRFをセレクタの注入につなげ、1回のクリックをリモートシェルに変える連鎖と呼んだ［4］。
攻撃が成り立つ条件
Patchstackの解説によると、攻撃にはサイトの管理者がそのURLを実際に読み込む必要があり、通常の閲覧者や投稿者・編集者のアカウントでは起こせない［4］。起こし方は、ログイン中の管理者に特定のリンクを踏ませる標的型のフィッシングか、サイトに注入したXSSで管理者の閲覧時に要求を自動で発火させるかのどちらかとした［4］。RCEに至るかは、脆弱なテーマがインストールされるかにも依る［4］。DISALLOW_FILE_MODSを有効にしたサイトなど新しいテーマを入れられないサイトでは、注入は起きうるが、新しいテーマやプラグインのインストールには及ばない［4］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | pwn.ai | Coreのセレクタの注入とテーマの自動インストールを、クリーンなブラウザでの実証付きで報告した | ［3］ |
| 2026年 | WordPress | 7.1.0で挙動を再現し、修正の追跡を始めた | ［3］ |
| 2026年 | pwn.ai | Mobile Repair Zone 2.5.4を使った有効化前の連鎖の全体と、無害なPHPの実行の証拠を提出した | ［3］ |
| 2026年 | WordPress | 7.1.1と旧系列の修正版を公開した | ［2］ |
| 2026年 | pwn.ai | Click2Shellの技術詳細とPoCを公開した | ［3］ |
| 2026年 | 香港中文大学の資訊科技服務處 | Click2Shellの注意喚起を出した | ［5］ |
| 2026年 | HKCERT | Click2Shellを含むWordPressの複数の脆弱性の告知を出した | ［6］ |
対象の製品と版
pwn.aiは、Coreのこの問題は7.1.1より前のすべての版に影響する見込みとした〔注2〕［3］。WordPressは、セキュリティ修正の対象の全系列（現在は4.7まで）に、必要に応じて修正をバックポートすると説明した［1］。積極的にサポートするのは最新版だけだとした［1］。
| 系列 | 11件のうち影響を受ける件数 | 修正版 | 資料 |
|---|---|---|---|
| 7.1 | - | 7.1.1 | ［1］ |
| 7.0・6.9・6.8・6.7 | すべて | 7.0.5・6.9.8・6.8.9・6.7.8 | ［2］ |
| 6.6〜5.9 | 10件 | 6.6.8・6.5.11・6.4.11・6.3.11・6.2.12・6.1.13・6.0.15・5.9.17 | ［2］ |
| 5.8〜5.6 | 9件 | 5.8.16・5.7.18・5.6.20 | ［2］ |
| 5.5〜5.3 | 8件 | 5.5.21・5.4.22・5.3.24 | ［2］ |
| 5.2〜4.8 | 7件 | 5.2.27・5.1.25・5.0.28・4.9.32・4.8.31 | ［2］ |
| 4.7 | 6件 | 4.7.36 | ［2］ |
| 4.6以前 | セキュリティ更新の対象外 | - | ［2］ |
WordPress.orgのテーマのページでは、Mobile Repair Zoneの現行の版は2.5.7と表示されている［9］。同じページの最終更新日は10月26日、有効インストール数は30以上である［9］。
悪用の状況
The Hacker Newsは9月18日の記事で、この欠陥が実際の攻撃で使われた兆候は無いと報じた［7］。Click2Shellは、CISAが実際の攻撃で悪用されたとして登録した脆弱性に入っていないとも報じた［7］。
修正と回避策
pwn.aiによると、WordPressはchangeset 63664で修正した［3］。7.1.1では、セレクタが一致する対象を実際のdiv.themeの要素に限り、URLに由来するスラッグを$.escapeSelector()でエスケープしてからセレクタに入れる［3］。WordPressはセキュリティリリースであるとして、直ちにサイトを更新するよう勧めた［1］。自動バックグラウンド更新に対応するサイトでは、更新が自動で始まる［1］。
The Hacker Newsは、WordPressもpwn.aiも別の回避策は示していないと報じた［7］。Patchstackは、自社の顧客はこの脆弱性から保護されているとしたうえで、WordPressを最新版に直ちに更新するよう勧めた［4］。
香港中文大学の資訊科技服務處は注意喚起で、影響を受ける環境を7.1.1以降に更新するよう求めた［5］。注意喚起には、テーマの管理と管理者の閲覧についての措置もある［5］。
- 無効なテーマを含め、インストールしたすべてのテーマを最新版に更新する［5］
- 使わない、古い、信頼できないテーマは、無効化にとどめずサーバーから削除する［5］
- 管理者のセッションがある間は、求めていないメールやメッセージなど信頼できない経路で受け取ったリンクを開かない［5］
pwn.aiは、WordPressがバグバウンティの最高額の300ドルを支払い、近くCVEを割り当てると伝えてきたと書いた［3］。
未公表の事項
- CVE番号（SecurityWeekは9月22日の記事で、まだ付いていないと報じた［8］）
- WordPressによる公開の深刻度の評価
- Mobile Repair Zoneの脆弱性の修正の有無と、修正した版
- pwn.aiが同じ脆弱性を見つけた40を超えるテーマの名前
- 影響を受けうるサイトの数
注
出典
当事者
- ［1］WordPress.org『WordPress 7.1.1 Maintenance and Security Release』（2026年9月17日公開）
- ［2］WordPress.org『Version 7.1.1』（2026年9月17日公開）
関係組織
- ［5］CUHK Information Technology Services Centre『WordPress Remote Code Execution Vulnerabilities "Click2Shell" (CVE-Unknown) and "Comment2Shell" (CVE-2026-93485)』（2026年9月21日公開）
公的機関
- ［6］香港電腦保安事故協調中心（HKCERT）『WordPress Multiple Vulnerabilities』（2026年9月22日公開）
調査・観測
- ［3］pwn.ai『Click2Shell: Preauth WordPress Core Theme Preview Injection to RCE Chain』（2026年9月18日公開）
- ［4］Patchstack OÜ『Click2Shell: The RCE WordPress 7.1.1 Just Patched』（2026年9月18日公開）
報道機関
- ［7］The Hacker News『New WordPress Click2Shell Flaw Forces Theme Installs, Can Chain to Code Execution』（2026年9月18日公開）
- ［8］Wired Business Media『WordPress Patches 'Click2Shell' Vulnerability』（2026年9月22日公開）
背景資料
- ［9］WordPress.org『Mobile Repair Zone』（2022年3月15日公開、2026年10月26日更新）
更新記録
- 2026年9月29日：公開した。
- 2026年10月6日：Patchstackの解説（出典4）を加え、「脆弱性の内容」と「修正と回避策」の節を改めた。
- 2026年10月26日：WordPress.orgのMobile Repair Zoneのテーマのページ（出典9）を加え、「対象の製品と版」の節を改めた。