¿Cuál es la amenaza?

Click2Shell es una vulnerabilidad del núcleo de WordPress que aprovecha el modo en que WordPress gestiona las solicitudes de instalación y vista previa de temas. Un atacante puede engañar a un administrador que haya iniciado sesión para que visite una URL especialmente diseñada. WordPress procesa la solicitud utilizando los permisos del administrador, lo que permite instalar un tema del repositorio de temas de WordPress.org sin que el administrador inicie la acción intencionadamente.

Por sí sola, la vulnerabilidad permite la instalación no autorizada de temas. Sin embargo, dado que WordPress puede cargar el código PHP de un tema inactivo durante la vista previa del Personalizador, los atacantes pueden acceder a la funcionalidad vulnerable del tema sin activarlo. Los investigadores demostraron que, si se instala un tema vulnerable, los atacantes pueden aprovechar sus debilidades para instalar complementos maliciosos, ejecutar código PHP, desplegar shells web o tomar el control de la aplicación WordPress.

Un aspecto destacable del ataque es que el tema visible del sitio puede que nunca cambie, lo que dificulta que los administradores detecten la vulnerabilidad.

¿Por qué es digno de mención?

Esta vulnerabilidad afecta al núcleo de WordPress, no solo a un plugin o tema específico. El ataque también pone en tela de juicio la suposición de que los temas inactivos son inofensivos. Un tema no necesita estar activado para que su código sea accesible durante el proceso de vista previa. Al combinarse con temas de terceros vulnerables, Click2Shell crea una vía práctica desde la ingeniería social hasta la ejecución de código del lado del servidor.

Dado que los temas y complementos recién instalados pueden permanecer prácticamente invisibles para los administradores, una intrusión exitosa podría pasar desapercibida durante un período prolongado.

¿Cuál es la exposicion o riesgo?

Las organizaciones que utilizan instalaciones de WordPress sin actualizar pueden ser vulnerables si un administrador que ha iniciado sesión accede a un enlace malicioso.

Una explotación exitosa puede dar como resultado:

• Instalación no autorizada de temas o complementos
• Ejecución remota de código
• Implementación de shell web
• Robo de credenciales
• Manipulación de datos
• Acceso persistente
• Desfiguración de sitio web
• Alojamiento de malware o actividad de phishing
• Compromiso total de la aplicación WordPress

El riesgo aumenta cuando los administradores navegan por correo electrónico o sitios web externos mientras tienen la sesión iniciada en WordPress, o cuando los entornos permiten modificar temas y complementos a través del panel de control de WordPress.

¿Cuáles son las recomendaciones?

La seguridad moderna necesita reducir la dependencia de que cada usuario sea capaz de reconocer una amenaza. La capacitación y la concientización siguen siendo importantes, pero una organización no debería dejar toda la responsabilidad en el momento del clic. Por lo que las siguientes recomendaciones permiten mitigar el impacto de la vulnerabilidad:

Actualizar WordPress

• Actualiza WordPress Core a la versión 7.1.1 o posterior.
• Aplique las actualizaciones de seguridad para las ramas compatibles si no es posible una actualización inmediata.

Actualizar temas y plugins

• Actualizar todos los temas instalados, incluidos los temas inactivos.
• Elimine los complementos que ya no sean compatibles o estén abandonados.
• Revise los entornos para los temas a los que se hace referencia en las investigaciones publicadas, incluida la Zona de Reparación Móvil 2.5.4.

Eliminar temas no utilizados

• Eliminar temas inactivos innecesarios.
• Conservar únicamente los temas activos y los temas de reserva necesarios.
• Supervise las adiciones inesperadas en wp-content/themes/.

Restringir el acceso administrativo

• Limite los privilegios de administrador de WordPress al personal necesario.
• Habilitar la autenticación multifactor (MFA) para las cuentas de administrador.
• Evite utilizar sesiones de administrador para la navegación rutinaria.

Reforzar los controles de modificación de archivos.

• Desactive la edición directa de temas y plugins siempre que sea posible.
• Restringir los permisos de escritura a los directorios necesarios.
• Considere la posibilidad de deshabilitar la instalación de plugins y temas en entornos de producción.

Vigile la actividad sospechosa.

Revise los registros para detectar accesos inesperados a:

• /wp-admin/theme-install.php
• /wp-admin/admin-ajax.php
• Solicitudes relacionadas con el personalizador

Investigar:

• Nuevos temas o complementos
• Archivos PHP inesperados
• Archivos de tema modificados recientemente

Reducir el riesgo de ingeniería social

• Capacite a los administradores para que eviten hacer clic en enlaces no solicitados mientras estén conectados a WordPress.
• Utilice perfiles de navegador independientes para las actividades de administración.
• Siempre que sea posible, solicite una nueva autenticación para las acciones sensibles.

Utilice WAF y parcheo virtual.

• Implementa reglas que identifiquen actividades sospechosas de instalación de temas.
• Bloquear las solicitudes que contengan parámetros de tema anómalos o intentos de manipulación del selector.

Investigar la posible exposición

Si los sistemas no estaban actualizados:

• Revisar si hay temas o complementos inesperados.
• Examine los registros administrativos y del servidor web.

• Si se sospecha que el sistema se ha visto comprometido, cambie las credenciales de administrador y revoque las sesiones activas.