AEU Hosting Blog
Notizie e analisi dai nostri ingegneri.
Gli attacchi a WordPress CVE-2026-87902 arrivano all’esecuzione di codice
WordPress CVE-2026-87902 è oggetto di sfruttamento attivo, con sonde che stanno passando a tentativi di scrivere file PHP su disco.
WordPress 7.1.2 corregge una falla critica nei file dei template
WordPress 7.1.2 corregge una falla critica di inclusione di file non autenticata che riguarda le versioni Core dalla 4.7.0 alla 7.1.1.
WordPress 7.1.1 corregge una stored XSS non autenticata
WordPress 7.1.1 corregge una vulnerabilità stored XSS nei commenti, oltre ad altri dieci problemi di sicurezza che riguardano Core e i rami precedenti.
I bot WordPress richiedono una risposta misurata, non un divieto generalizzato
I bot WordPress possono rallentare i siti, sprecare risorse o aiutare la visibilità nella ricerca, quindi i proprietari hanno bisogno di un piano per consentire, verificare o bloccare il traffico.
Guardrail per agenti AI per aggiornamenti WordPress più sicuri
I guardrail per agenti AI possono impedire che il lavoro automatizzato su WordPress arrivi in produzione senza staging, backup, accesso limitato e revisione umana.
La crittografia a chiave pubblica di fronte agli interrogativi posti dai progressi dell'AI
La crittografia a chiave pubblica è alla base dei pagamenti sicuri sul web; Wordfence avverte che i progressi matematici dell'AI potrebbero metterla in discussione, ma non segnala alcuna violazione dimostrata della cifratura.
Una falla nel caricamento dei file su WordPress consente agli aggressori di inserire file eseguibili
I siti WordPress che utilizzano versioni vulnerabili di Bricksforge sono bersaglio di attacchi in corso che possono eseguire codice dannoso senza effettuare l’accesso; la versione 3.1.8.10 corregge la falla.
WordPress: 52 delle 501 vulnerabilità divulgate restano senza correzione
Secondo Wordfence, le segnalazioni relative a WordPress hanno riguardato 501 vulnerabilità in plugin e temi, di cui 52 ancora senza correzione e 20 classificate come critiche: verificare gli aggiornamenti è quindi essenziale.
Script di terze parti non gestiti: un punto cieco per la sicurezza
Tag, pixel ed embed di terze parti possono leggere i dati delle pagine, modificare ciò che vedono i visitatori e consentire lo skimming dei dati delle carte di pagamento se compromessi, richiedendo un controllo più rigoroso.
Anche i siti di staging WordPress devono essere protetti
Una copia di staging del tuo sito WordPress può esporre account amministratore, dati dei clienti e chiavi API. Ecco come metterla in sicurezza.
I login degli account Sucuri si spostano sulla nuova piattaforma di autenticazione dal 10 agosto
Sucuri inizia a migrare i login dei clienti a sso.sucuri.net il 10 agosto 2026; password e autenticazione a due fattori restano invariate e i vecchi link reindirizzano automaticamente.
WordPress 7.1.3 corregge XSS nei commenti e falle sui post privati
WordPress 7.1.3 corregge sette vulnerabilità, tra cui una perdita di commenti su post privati e un XSS memorizzato attivato quando un moderatore clicca su un link malevolo in un commento in attesa.
Campagna XSS su WordPress installa account amministratore nascosti
Una campagna di XSS memorizzato sfrutta Ninja Forms e WPC Product Bundles per installare un account amministratore nascosto e una backdoor nei siti WordPress.
La falla CSRF di Elementor trasforma un link cliccato in un account amministratore
Elementor 4.3.0 e 4.3.1 permettono a un link aperto da un amministratore di eseguire qualsiasi azione dell'API REST, inclusa la creazione di un amministratore. Risolto nella versione 4.3.2.
Le vulnerabilità di WordPress calano del 24% nel secondo trimestre mentre gli attacchi aumentano
Il rapporto del secondo trimestre 2026 di Wordfence mostra 2.073 vulnerabilità WordPress divulgate, un calo del 24%, ma i difetti ad alto rischio e il volume degli attacchi sono aumentati notevolmente.
260 vulnerabilità nei plugin WordPress trovate, 38 non corrette
Wordfence ha registrato 260 vulnerabilità in 207 plugin WordPress la scorsa settimana; la maggior parte è stata corretta, ma 38 restano non corrette e richiedono un intervento immediato da parte dei proprietari dei siti.
Wordfence 9 aggiunge passkey gratuite per l'accesso a WordPress
Wordfence 9 offre ai proprietari di siti WordPress un'opzione passkey gratuita che sostituisce le password con accesso con un clic, impronta digitale o volto e rende il phishing più difficile.
Malware WordPress auto-riparante si nasconde nel database e nella RAM
Sucuri ha documentato SC, una backdoor WordPress che si ricostruisce da otto posizioni, tra cui il database e la memoria condivisa.
Plugin di sicurezza per WordPress: scegli i livelli che contano
Sucuri spiega cosa fanno realmente i plugin di sicurezza per WordPress, i loro limiti e perché è essenziale combinare hardening, firewall, scansione e backup.
L'IA trova falle nascoste nei plugin WordPress raramente aggiornati
L'IA sta trovando rapidamente falle non segnalate in piccoli plugin WordPress; il laboratorio isolato di un ricercatore ha trasformato codice sospetto in vulnerabilità verificate.
Wordfence: 319 vulnerabilità nei plugin WordPress in una settimana
Wordfence ha registrato 319 vulnerabilità in 222 plugin WordPress a fine settembre; 13 restano senza patch, inclusa una falla di inclusione file locale nel core.
Bug Bounty Wordfence di giugno: 1.066 segnalazioni, 42.553 dollari pagati
Il programma bug bounty di Wordfence di giugno 2026 ha ricevuto 1.066 segnalazioni di vulnerabilità e ha pagato 42.553 dollari, incluse falle critiche in Everest Forms Pro, Burst Statistics, Kirki e UpdraftPlus.
362 vulnerabilità nei plugin WordPress divulgate la scorsa settimana
Wordfence ha aggiunto 362 falle in 247 plugin e 4 temi, inclusa una vulnerabilità XSS stored non autenticata nel core di WordPress 7.1 e 45 problemi non corretti.
WordPress 7.1.2 corregge una vulnerabilità critica di path traversal
WordPress 7.1.2 e i backport correggono una falla critica che consente ad aggressori non autenticati di includere un file PHP locale, portando potenzialmente al controllo completo del sito. Aggiornate ora.
Un malware WordPress furtivo nasconde un amministratore tramite un must-use plugin
Un must-use plugin WordPress furtivo nasconde un account amministratore non autorizzato, memorizza password in chiaro, si auto-ripristina e si diffonde tra hosting condivisi, riferisce Wordfence.
Grave vulnerabilità in libheif consente alle immagini HEIC di eseguire codice sui server
Un bug critico nella libreria di immagini libheif può permettere a upload HEIC appositamente creati di leggere file o eseguire codice su server WordPress vulnerabili.