362 vulnerabilità nei plugin WordPress divulgate la scorsa settimana
Il rapporto settimanale sulle vulnerabilità di Wordfence per il periodo dal 14 al 20 settembre 2026 ha catalogato 362 nuove vulnerabilità in 247 plugin WordPress e 4 temi WordPress, con 45 di questi problemi ancora non corretti al momento della pubblicazione. I dati provengono dal Wordfence Intelligence Vulnerability Database, che ora contiene più di 40.000 vulnerabilità WordPress ed è liberamente accessibile tramite un'interfaccia utente, un'API e un'integrazione webhook. L'azienda afferma che proprietari di siti, aziende, provider di hosting e singoli individui possono utilizzare questi strumenti per costruire una sicurezza a più livelli e che la missione è rendere le informazioni sulle vulnerabilità disponibili a tutti.
Il rapporto suddivide la gravità in base al punteggio CVSS, una valutazione standard da 0 a 10 dove numeri più alti significano rischio maggiore. Le aggiunte della scorsa settimana includevano 18 vulnerabilità critiche, 74 di gravità alta, 266 di gravità media e 4 di gravità bassa. Il tipo di debolezza più comune, classificato secondo CWE (Common Weakness Enumeration), è stato il cross-site scripting (XSS) con 94 istanze, seguito da autorizzazione mancante con 69, SQL injection con 35, bypass dell'autorizzazione tramite chiavi controllate dall'utente con 27 ed esposizione di informazioni sensibili con 27. Altri tipi degni di nota includevano code injection, caricamento di file senza restrizioni, cross-site request forgery (CSRF), path traversal, server-side request forgery (SSRF) e autenticazione impropria.
Un elemento significativo è una nuova regola firewall, WAF-RULE-957, distribuita dal Threat Intelligence Team di Wordfence per proteggere da una vulnerabilità di cross-site scripting stored non autenticata nel core di WordPress fino alla versione 7.1, correlata a come la funzione wpautop() gestisce i blockquote. wpautop è una funzione di WordPress che aggiunge automaticamente tag di paragrafo e interruzione di riga al contenuto. Wordfence afferma che la regola è stata implementata immediatamente per i clienti Premium, Care e Response, mentre gli utenti del plugin gratuito Wordfence riceveranno la protezione avanzata dopo un ritardo di 30 giorni. I dettagli della vulnerabilità sono oscurati mentre Wordfence collabora con il fornitore per una patch, una pratica comune per impedire agli aggressori di sfruttare una falla non corretta.
In totale, 186 ricercatori di vulnerabilità hanno contribuito alla sicurezza di WordPress la scorsa settimana. I reporter più attivi includevano Wordfence PRISM con 25 vulnerabilità, Karthik Ramakrishnan con 17, Ananda Dhakal con 13, Artus KG con 12 e tre ricercatori con 11 ciascuno: Pablo González Pérez, Francisco José Ramírez Vicente e Iñigo Sánchez Enciso. Molti altri ricercatori hanno inviato tra una e dieci segnalazioni. Wordfence gestisce anche un programma di bug bounty in cui la divulgazione responsabile di vulnerabilità in ambito può far guadagnare una ricompensa e far menzionare il ricercatore nel rapporto settimanale.
Il rapporto elenca un gran numero di plugin interessati, inclusi nomi ampiamente utilizzati come All-in-One WP Migration and Backup, LiteSpeed Cache, addon di Elementor (Element Pack, Master Addons, JetElements), GiveWP, Booking Calendar, Forminator, Mailchimp for WooCommerce, Popup Maker, Redux Framework e molti altri. Poiché 317 vulnerabilità sono state corrette ma 45 rimangono non corrette, i proprietari di siti dovrebbero verificare se qualche plugin o tema che eseguono compare nell'elenco e applicare aggiornamenti o mitigazioni temporanee. Wordfence consiglia di consultare l'elenco completo nel suo database.
Per un proprietario di sito, questo rapporto settimanale è un promemoria che mantenere WordPress sicuro richiede un'attenzione costante. L'hosting WordPress gestito come AEU Hosting può ridurre il carico fornendo hardening della sicurezza, backup automatici e supporto esperto per aiutare ad applicare le patch prima che gli aggressori possano sfruttare una falla divulgata.