Wordfence: 319 vulnerabilità nei plugin WordPress in una settimana
L'ultimo rapporto di Wordfence ha registrato 319 vulnerabilità nei plugin WordPress in 222 plugin tra il 21 e il 27 settembre 2026, e 156 ricercatori di sicurezza hanno contribuito con segnalazioni quella settimana. Queste vulnerabilità sono state aggiunte al Wordfence Intelligence Vulnerability Database, che è consultabile gratuitamente tramite interfaccia web, API (un modo per il software di richiedere dati automaticamente) e notifiche webhook (avvisi in tempo reale inviati a un altro sistema). Il database contiene più di 40.000 record di vulnerabilità WordPress e Wordfence afferma che la sua missione è rendere questi dati accessibili affinché proprietari di siti, provider di hosting e aziende possano applicare una sicurezza a più livelli, detta anche difesa in profondità.
Delle 319 vulnerabilità, 306 hanno già patch disponibili dagli autori dei plugin, mentre 13 restano senza patch al momento del rapporto. Utilizzando il Common Vulnerability Scoring System (CVSS, una scala standard da 0 a 10 per valutare i difetti di sicurezza), Wordfence ha classificato 226 vulnerabilità di gravità media, 79 alta e 14 critica. Il tipo di debolezza più comune è stato il cross-site scripting (XSS), in cui un utente malintenzionato può iniettare script dannoso in una pagina visualizzata da altri, con 96 casi. L'autorizzazione mancante ha rappresentato 59 casi, il bypass dell'autorizzazione tramite chiave controllata dall'utente 26, l'SQL injection (manipolazione delle query del database) 24 e l'esposizione di informazioni sensibili a un attore non autorizzato 22. Altri tipi di debolezza degni di nota includevano gestione impropria dei privilegi (14), deserializzazione di dati non attendibili (11), path traversal (11), code injection (8), server-side request forgery (7) e cross-site request forgery (4).
Il rapporto copre anche una vulnerabilità in WordPress Core versione 7.1.1 e precedenti: un'inclusione file locale non autenticata tramite il path traversal della funzione locate_template(). L'inclusione file locale consente a un utente malintenzionato di indurre un'applicazione web a caricare un file dal server che non dovrebbe essere esposto, potenzialmente leggendo configurazioni sensibili o codice sorgente. Il Threat Intelligence Team di Wordfence, che esamina ogni vulnerabilità per determinarne impatto e gravità e verificare che il Wordfence Firewall fornisca una protezione sufficiente, ha implementato tre nuove regole firewall la scorsa settimana. Queste sono identificate come WAF-RULE-959, WAF-RULE-960 e WAF-RULE-961, ma i loro dettagli sono oscurati mentre Wordfence collabora con i fornitori interessati per le patch. I clienti Wordfence Premium, Care o Response hanno ricevuto immediatamente tale protezione, mentre gli utenti gratuiti di Wordfence riceveranno la stessa protezione avanzata dopo un ritardo di 30 giorni. Anche la falla di inclusione file locale del core di WordPress è stata protetta immediatamente per i clienti Premium, Care e Response.
I 222 plugin interessati coprono quasi ogni parte dell'ecosistema WordPress. Page builder e relativi add-on includono Elementor, ElementsKit, Premium Addons for Elementor, HappyAddons for Elementor, King Addons, JetEngine e JetTricks. I plugin per e-commerce e donazioni elencati includono GiveWP, SureCart, Easy Digital Downloads, Payment Plugins for PayPal WooCommerce, Paymob for WooCommerce, Razorpay Payment Button e diversi plugin di filtri e feed per WooCommerce. I form builder interessati includono Ninja Forms, Forminator, JetFormBuilder, Happyforms e HT Contact Form. Strumenti di caching e ottimizzazione delle immagini come 10Web Booster, Asset CleanUp: Page Speed Booster, Core Web Vitals & PageSpeed Booster, Optimole e ShortPixel Image Optimizer sono nell'elenco. Strumenti di sicurezza come All-In-One Security (AIOS), Malcure Malware Shield, SSL Zen e Easy Hide Login compaiono anch'essi, così come plugin per gallerie come NextGEN Gallery e Modula, plugin per membership come s2Member e Paid Membership Subscriptions, plugin per prenotazioni come Booking Calendar e Bookly e molti altri. L'elenco completo è disponibile nel rapporto Wordfence.
Tra i 156 ricercatori che hanno contribuito, Ananda Dhakal ha segnalato il maggior numero di vulnerabilità con 34, seguito da Karthik Ramakrishnan e Intrudify con 11 ciascuno. Otto ricercatori hanno segnalato 8 vulnerabilità ciascuno: tra loro vuxvinh, Jakub Herman, Artus KG, Wordfence PRISM e nh4tvd. Decine di altri ricercatori hanno segnalato uno o due risultati. Wordfence incoraggia la divulgazione responsabile tramite il suo Bug Bounty Program, che offre ricompense per vulnerabilità in ambito e inserisce i ricercatori in una classifica pubblica.
Per i proprietari di siti, il volume di vulnerabilità nei plugin ricorda che l'ecosistema WordPress cambia costantemente. Poiché più di 300 vulnerabilità sono state corrette in una sola settimana, applicare rapidamente gli aggiornamenti dei plugin è una delle protezioni più efficaci. Le 13 falle senza patch e il problema di inclusione file locale nel core di WordPress significano che alcuni siti restano esposti finché gli sviluppatori non rilasciano correzioni o gli utenti non applicano soluzioni alternative. Un hosting WordPress gestito come AEU Hosting può ridurre questo carico di lavoro con backup automatici, hardening della sicurezza e aggiornamenti tempestivi, sebbene nessun host possa sostituire la necessità di mantenere aggiornato ogni plugin installato e rimuovere quelli inutilizzati.