WordPress开发团队于9月17日发布7.1.1版本更新，该版本包含17项核心修复、19项区块编辑器修复以及12项安全修复。其中，官方重点修复了一项名为“Click2Shell”的严重远程代码执行（RCE）漏洞，并建议所有WordPress网站管理员尽快完成升级，以降低站点遭受攻击的风险。
据安全团队Pwn.ai Research披露的技术细节，Click2Shell漏洞与WordPress主题预览功能处理URL参数的方式有关。在同一个主题预览链接中，参数会先后被WordPress.org主题API以及管理员浏览器中的JavaScript代码解析。主题API会将相关参数处理为普通的主题Slug，而浏览器端则保留原始字符，并将其进一步插入jQuery选择器。在特定条件下，这种处理差异可形成一条可利用的攻击链。
具体而言，攻击者可通过构造特殊的WordPress主题预览链接，诱导WordPress安装其指定的主题，从而在受害者设备上加载恶意PHP代码。该攻击方式将漏洞利用与社工诱导相结合，使远程代码执行成为可能。
不过，根据目前披露的信息，该攻击链需要特定的用户交互和浏览器会话条件。研究人员分析认为，潜在受害者需登录WordPress后台，并且此前在同一浏览器会话中访问过攻击者准备的恶意网站。因此，并非任意未登录用户都可以直接利用该漏洞对WordPress站点发起攻击。这一限制条件在一定程度上降低了漏洞被大规模自动化利用的可能性，但对于已登录的管理员用户而言，风险依然存在。
WordPress开发团队强调，对于正在运行WordPress 7.1系列的管理员，应尽快升级至7.1.1版本，以获得针对该漏洞的修复。除安全修复外，7.1.1版本还包含多项核心与区块编辑器的稳定性改进，属于一次维护性更新。
WordPress是全球使用最广泛的开源内容管理系统之一，大量企业官网、电商站点及内容平台均基于其构建。主题预览功能作为后台的常规操作入口，管理员在日常运维中频繁使用。此次漏洞的披露再次表明，即便是成熟开源项目中的既有功能模块，也可能因前后端参数解析逻辑不一致而衍生出安全风险。
对于企业用户而言，内容管理系统的安全维护直接关系到站点可用性与数据安全。在漏洞细节已公开的情况下，未及时升级的站点更容易成为攻击目标。建议管理员在升级前做好数据库与文件备份，并通过官方渠道获取更新包，避免使用来源不明的补丁或插件。同时，可结合Web应用防火墙等防护手段，对异常的主题预览请求进行监控与拦截。
目前，WordPress官方尚未披露该漏洞是否已被在野利用。考虑到漏洞利用需要管理员登录及特定浏览器会话条件，实际攻击面相对有限，但鉴于WordPress站点的庞大基数，后续是否出现针对性的攻击尝试仍需持续关注。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
