497 vulnerabilità di WordPress colpiscono plugin e temi
Le vulnerabilità di WordPress divulgate tra il 12 e il 18 ottobre 2026 hanno interessato 327 plugin e 23 temi, secondo le aggiunte al Wordfence Intelligence Vulnerability Database. Wordfence ha registrato complessivamente 497 vulnerabilità, di cui 428 indicate come corrette con una patch e 69 ancora prive di patch. Le segnalazioni hanno incluso contributi di 218 ricercatori di sicurezza, con 40 vulnerabilità attribuite a Wordfence PRISM.
La suddivisione per gravità offre ai proprietari dei siti un chiaro motivo per controllare tempestivamente il software installato. Wordfence ha classificato 23 vulnerabilità come critiche, 153 come di gravità elevata, 315 come di gravità media e sei come di gravità bassa. Queste valutazioni utilizzano il CVSS, il Common Vulnerability Scoring System, che misura la gravità di una falla di sicurezza su una scala che arriva a 10. Il report assegna al gruppo più grave punteggi di 9,8 o 9,1 e molte vulnerabilità potrebbero essere sfruttate senza che l'intruso debba prima accedere al sito.
La categoria più numerosa è stata il cross-site scripting, in cui un input non sicuro può indurre un sito web a eseguire codice indesiderato nel browser, con 159 vulnerabilità. Wordfence ha inoltre contato 116 falle di missing authorization, 34 problemi di SQL injection che potrebbero consentire a input ostili di manipolare le query del database, 33 casi di deserialization of untrusted data, 31 sensitive information exposure, 22 falle di improper privilege management, 20 authorization bypass tramite chiavi controllate dall'utente e 15 debolezze di code injection. Le altre categorie comprendevano 11 dangerous file upload, 10 falle di path traversal, otto casi di mancata verifica dell'autenticità dei dati, sette problemi di cross-site request forgery, sei falle di authentication, cinque casi di PHP remote file inclusion, quattro errori di client-side enforcement, tre falle di incorrect authorization e tre problemi di server-side request forgery. Le voci rimanenti riguardavano improper input validation, open redirect, una race condition, codice malevolo incorporato, improper access control, downstream injection, command injection e valori non sufficientemente casuali.
Tra le vulnerabilità con valutazione 9,8, tre risultavano ancora prive di patch al momento della registrazione. AGE-GATE 1.0 e versioni precedenti presentava una vulnerabilità di remote code execution senza autenticazione tramite PHP code injection nei parametri width o height del suo file admin.php autonomo, identificata come CVE-2026-104800. JTL-Connector for WooCommerce 2.4.3 e versioni precedenti presentava una falla di file upload senza autenticazione nel metodo image.push, CVE-2026-87855. Snazzy Social Media Feed 2.5 e versioni precedenti presentava un problema di file upload senza autenticazione tramite il parametro pluginURL, CVE-2026-110002. Remote code execution significa che un aggressore può indurre il sito web a eseguire comandi o codice scelti dall'aggressore. Senza autenticazione significa che non è necessario disporre di un account valido sul sito web.
Wordfence ha indicato come corretti con una patch gli altri problemi con valutazione 9,8. Questi includevano arbitrary file upload in 10Web Booster fino alla versione 2.34.10, CVE-2026-108587; authentication bypass e SQL injection in Abandoned Cart Pro for WooCommerce fino alla versione 10.8.0, CVE-2026-97657 e CVE-2026-97668; file upload basato su allegati in ELEX WordPress HelpDesk fino alla versione 3.3.7, CVE-2026-103768; e PHP object injection in LearnPress fino alla versione 4.4.10, CVE-2026-104736. PHP object injection è la ricostruzione non sicura dei dati forniti in oggetti del programma, che può diventare pericolosa quando sul sito è presente codice adatto allo sfruttamento.
Il gruppo delle vulnerabilità critiche corrette con una patch comprendeva inoltre privilege escalation in MailOptin fino alla versione 1.2.78.6, CVE-2026-109515; file upload in Mang Board 2.4.4, CVE-2026-109219; remote code execution in MDTF fino alla versione 1.3.9, CVE-2026-108151; privilege escalation in My Calendar fino alla versione 3.8.7, CVE-2026-104798; acquisizione dell'account in OTP Login and Register Woocommerce fino alla versione 2.7.2, CVE-2026-110135; e file upload con conseguente remote code execution in Printcart Store fino alla versione 2.9.1, CVE-2026-93388. Privilege escalation consente a un account di ottenere autorizzazioni che non dovrebbe possedere.
Tra le ulteriori voci con valutazione 9,8 e corrette con una patch figuravano codice malevolo incorporato in Rank Math SEO PRO 3.0.123, CVE-2026-111862; privilege escalation tramite mass assignment in SimpleForm fino alla versione 3.10.0, CVE-2026-104748; PHP object injection in Sunshine Photo Cart fino alla versione 3.7.4, CVE-2026-104730; remote code execution in The Grid fino alla versione 2.8.1, CVE-2026-94169; e privilege escalation in Theme My Login fino alla versione 7.2.1, CVE-2026-89079.
Altri quattro problemi critici hanno ricevuto punteggi CVSS di 9,1. Appointment Booking Plugin LatePoint fino alla versione 5.7.4 presentava un authentication bypass, corretto con una patch, causato da una race condition nel contatore dei tentativi con one-time password, CVE-2026-110653. BuddyPress XProfile Custom Image Field fino alla versione 3.1.0 presentava una falla di arbitrary file deletion senza autenticazione e ancora priva di patch. Click to Chat fino alla versione 4.44 presentava una falla di shortcode execution corretta con una patch, CVE-2026-92097, mentre File Upload to Order fino alla versione 1.1.3 presentava un problema di arbitrary file deletion corretto con una patch, CVE-2026-107594.
I problemi di gravità elevata includevano remote code execution con autenticazione, file upload, acquisizione dell'account, eliminazione di file e command injection in plugin utilizzati per contenuti di affiliazione, gestione dei clienti, progettazione di email, video, directory, mappe, saloni, album fotografici ed email SMTP. Wordfence ha inoltre segnalato un gruppo, ancora privo di patch, di falle di PHP object injection con valutazione 8,1 che interessavano i temi Avventure, Bonbon, Coinpress, Edge Decor, EmojiNation, Filmax, Gamezone, Gamic, Good Homes, Gunslinger, Le Truffe, Legal Stone, Marcell, Meals and Wheels, Mission, Motorix, Muzicon, Nuts e Orpheus. Tra i problemi di gravità elevata ancora privi di patch figuravano anche arbitrary file reading in Contact Form 7 Signature Addon fino alla versione 4.2.2, SQL injection in Gmedia Photo Gallery fino alla versione 1.25.1 e una distinta SQL injection in JTL-Connector for WooCommerce fino alla versione 2.4.3.
Wordfence ha dichiarato che il suo team di threat intelligence ha distribuito WAF-RULE-966 e WAF-RULE-967 mentre collaborava con i fornitori allo sviluppo delle patch, ma non ne ha divulgato i dettagli tecnici. Un WAF, o web application firewall, filtra le richieste web dannose prima che raggiungano il codice vulnerabile. Ha inoltre aggiunto una protezione contro PHP object injection nei commenti. I clienti Premium, Care e Response hanno ricevuto immediatamente le regole, mentre il plugin gratuito avrebbe dovuto riceverle dopo un ritardo di 30 giorni. La protezione del firewall riduce l'esposizione, ma non sostituisce l'installazione di una patch del fornitore o la rimozione del software vulnerabile.
Il database di Wordfence contiene più di 40.000 vulnerabilità ed è accessibile tramite la sua interfaccia utente gratuita, la sua application programming interface e l'integrazione webhook. Un webhook invia automaticamente una notifica quando si verifica un evento nel database. Wordfence ha dichiarato che i siti sui quali il suo plugin è in esecuzione con la scansione abilitata dovrebbero aver già ricevuto un avviso se interessati, mentre i webhook Slack e HTTP possono fornire notifiche in tempo reale sulle voci nuove o aggiornate.
I proprietari dei siti dovrebbero confrontare ogni plugin e tema installato con le versioni interessate, aggiornare i prodotti per i quali è disponibile una patch e disabilitare i componenti privi di patch finché non sarà disponibile una versione sicura.