655 vulnerabilità di WordPress includono 21 falle critiche
Le segnalazioni di vulnerabilità di WordPress hanno raggiunto 655 problemi in 406 plugin e 100 theme nel periodo dal 5 all'11 ottobre, secondo Wordfence Intelligence. Di queste vulnerabilità, 366 sono state contrassegnate come patched e 289 sono rimaste unpatched, rendendo importante per proprietari di siti, agenzie e team IT effettuare immediatamente un inventario del software installato.
La suddivisione per gravità comprendeva 21 vulnerabilità critiche, 249 di gravità elevata, 377 di gravità media e otto di gravità bassa. La gravità è stata misurata con CVSS, il Common Vulnerability Scoring System utilizzato per valutare il potenziale impatto di una falla di sicurezza. Wordfence ha attribuito a 236 ricercatori di sicurezza il merito di aver contribuito alle segnalazioni durante la settimana e ha dichiarato che il suo database contiene più di 40.000 vulnerabilità di WordPress. L'interfaccia del database, l'application programming interface e l'integrazione webhook, che può inviare automaticamente nuovi record a un altro sistema, sono disponibili gratuitamente per uso personale e commerciale.
La debolezza più comune è stata cross-site scripting, o XSS, che può indurre una pagina vulnerabile a eseguire nel browser codice fornito da un aggressore, con 198 casi. Missing authorization ha rappresentato 112 casi, mentre unsafe deserialization, in cui dati memorizzati non attendibili vengono ricostruiti in modo pericoloso, ne ha rappresentati 67. Sono state rilevate anche 61 falle SQL injection, che consentono a input ostili di interferire con i comandi del database, e 45 casi di sensitive information exposure. Le categorie rimanenti erano improper privilege management, 30; PHP remote file inclusion, 24; authorization bypass tramite una chiave controllata dall'utente, 21; dangerous file upload, 18; path traversal, 15; code injection, 11; improper authentication, nove; cross-site request forgery, otto; client-side enforcement of server-side security, sette; incorrect authorization, sei; server-side request forgery, cinque; missing authentication for a critical function, tre; uncontrolled resource consumption, tre; alternate-path authentication bypass, due; protection mechanism failure, due; e otto categorie con un caso ciascuna, tra cui una race condition, file accessibili dall'esterno, improper authorization, input validation failure, downstream injection, informazioni sensibili nei dati inviati, un loop infinito e informazioni sensibili nella cache.
Tutte le 21 vulnerabilità critiche avevano punteggi CVSS pari a 9,8 o 9,1. Il gruppo patched con punteggio 9,8 includeva 3D Product configurator for WooCommerce fino alla versione 2.16.2, CVE-2026-103889, con remote code execution senza autenticazione, il che significa che un soggetto esterno avrebbe potuto potenzialmente indurre il server a eseguire istruzioni ostili. Advanced IP Blocker fino alla versione 8.13.13, CVE-2026-104732, presentava un authentication bypass relativo al gestore del login a due fattori. Bricksforge fino alla versione 3.1.8.9, CVE-2026-85097, ed Extensions For CF7 fino alla versione 3.4.5, CVE-2026-94589, presentavano falle di arbitrary file upload senza autenticazione. SiteVault fino alla versione 1.5.19, CVE-2026-42696, presentava remote code execution; SMS Alert fino alla versione 4.0.0, CVE-2026-94256, consentiva account takeover; e WPCOM Member fino alla versione 1.7.27, CVE-2026-104803, presentava un authentication bypass del social login.
Otto falle con punteggio 9,8 erano indicate come unpatched. Interessavano Anton Extensions fino alla versione 1.2.2, CVE-2026-104028; il theme Doctreat fino alla versione 1.7.0, CVE-2026-39770; Everest Backup fino alla versione 2.3.13, CVE-2026-39802; Freeton WP fino alla versione 1.0.0, CVE-2026-84737; Mindstien Quick Login fino alla versione 1.0, CVE-2026-84734; Tailored Tools fino alla versione 3.0.3, CVE-2026-62025; Tonda Membership fino alla versione 1.0.1, CVE-2026-62022; e Tourfic Pro fino alla versione 1.17.3, CVE-2026-39774. Le debolezze includevano file upload, remote code execution, account takeover e privilege escalation, in cui un aggressore ottiene autorizzazioni che non dovrebbero essergli disponibili.
Le sei falle critiche con punteggio 9,1 includevano cinque problemi patched: Avada (Fusion) Builder fino alla versione 3.16.1, CVE-2026-97670, consentiva azioni WordPress senza autenticazione tramite un token dinamico dei moduli; Blocksy Companion fino alla versione 2.1.58, CVE-2026-107645, presentava privilege escalation tramite il parametro role; PPOM fino alla versione 34.0.10, CVE-2026-104801, consentiva file deletion; rtMedia fino alla versione 4.7.13, CVE-2026-105892, consentiva anch'esso file deletion; e Super Forms fino alla versione 6.3.316, CVE-2026-17609, consentiva directory deletion. Simple File List fino alla versione 6.3.11, CVE-2026-39792, era indicato come unpatched e consentiva file deletion senza autenticazione.
I risultati di gravità elevata includevano inoltre diverse falle sfruttabili da utenti registrati con privilegi ridotti. Gli esempi patched con punteggio 8,8 interessavano ACPT Premium fino alla versione 2.0.66, LatePoint fino alla versione 5.7.3, Creator LMS fino alla versione 1.2.21, FooSales fino alla versione 1.43.0, FV Player 8 fino alla versione 8.1.7, Groundhogg fino alla versione 4.9, LifterLMS fino alla versione 10.2.1 e Super Forms fino alla versione 6.3.316. I problemi unpatched con punteggio 8,8 interessavano CodeBard Help Desk fino alla versione 1.1.2, Content Visibility for Divi Builder fino alla versione 5.03, Crowdfundly fino alla versione 2.2.2, Taskbot fino alla versione 6.6, Veeqo for WooCommerce fino alla versione 2.2.8, Workreap Core fino alla versione 3.4.5 e WP Duplicate fino alla versione 1.1.11. I loro effetti includevano remote code execution, file upload, privilege escalation e PHP object injection.
Un consistente gruppo di falle con punteggio 8,1 riguardava local file inclusion senza autenticazione o PHP object injection nei theme. I prodotti indicati come unpatched includevano Aalto fino alla versione 1.8, Alliance fino alla versione 3.11, Ambient fino alla versione 1.7, Anesta fino alla versione 1.5.3, Armania fino alla versione 1.4.8, Asia Garden fino alla versione 1.3.1, Avala fino alla versione 1.1.4, Backhoe fino alla versione 2.0, Balance fino alla versione 1.12.0, Biolife fino alla versione 3.2.3, Booklovers fino alla versione 2.13.0, Boutique fino alla versione 2.3.3, Buzz Stone fino alla versione 1.0.2, Camelia fino alla versione 1.2.15, Cardea fino alla versione 2.3, CleanSkin fino alla versione 1.5.0, Convex fino alla versione 1.16.0, Drone Media fino alla versione 2.2.0, Duka Market fino alla versione 1.3.0, Dwell fino alla versione 1.16.0, Edema fino alla versione 1.2.2.2, Education Center fino alla versione 3.6.12 ed Equadio fino alla versione 1.1.4. Anche DirectoryPress fino alla versione 3.6.27 era unpatched. Gli esempi patched con punteggio 8,1 includevano Advanced Form Integration fino alla versione 2.9.0, AFFI fino alla versione 1.0.10 e Booster for WooCommerce fino alla versione 8.4.0.
Wordfence ha inoltre distribuito regole firewall per stored XSS in WordPress Core dalla versione 7.1 alla 7.1.2 relativo ai commenti in sospeso e per SQL injection senza autenticazione in Abandoned Cart Pro for WooCommerce fino alla versione 10.8.0, relativo al meta_value del carrello persistente degli ospiti. Gli utenti Premium, Care e Response hanno ricevuto immediatamente queste regole, mentre per la versione gratuita la distribuzione era prevista dopo un ritardo di 30 giorni. Wordfence ha dichiarato che i siti che utilizzano il suo plugin con la scansione abilitata dovrebbero aver ricevuto un avviso quando è stato rilevato software interessato.
I proprietari dei siti dovrebbero aggiornare tempestivamente i prodotti patched e disabilitare o rimuovere un plugin o theme interessato quando non è disponibile alcuna patch, in particolare per le falle senza autenticazione che non richiedono un account. Prima di apportare modifiche, è opportuno creare un backup verificato e confermare che il ripristino funzioni. Per le organizzazioni che preferiscono non gestire autonomamente questo lavoro, AEU Hosting offre hosting WordPress gestito e protetto end to end, una soluzione direttamente pertinente alla manutenzione di un'installazione WordPress sensibile alla sicurezza.