Bug Bounty Wordfence di giugno: 1.066 segnalazioni, 42.553 dollari pagati
Nel giugno 2026, il programma Bug Bounty di Wordfence ha ricevuto 1.066 segnalazioni di vulnerabilità da 306 ricercatori di sicurezza attivi, con un aumento del 4,4% dei ricercatori anche se il totale delle segnalazioni è diminuito del 2,6% rispetto a maggio. Il programma ha pagato 42.553 dollari in taglie, con una media di 230,02 dollari per segnalazione valida in ambito e un pagamento massimo di 5.200 dollari. Delle segnalazioni, 185 sono state considerate in ambito, 1 fuori ambito, 578 respinte e 302 duplicati. Il team di Threat Intelligence di Wordfence esamina ogni segnalazione, coordina la divulgazione con i fornitori di software tramite un portale gratuito di gestione delle vulnerabilità e rilascia regole firewall quando appropriato.
L'obiettivo dichiarato del programma è trovare e correggere le vulnerabilità nei plugin e nei temi WordPress prima che gli aggressori le sfruttino. Wordfence afferma che i clienti Wordfence Premium, Care e Response ricevono protezione firewall in tempo reale quando viene distribuita una nuova regola, mentre gli utenti gratuiti ricevono la stessa regola dopo 30 giorni. A giugno sono state rilasciate 7 nuove regole del web application firewall (WAF), con un aumento del 16,7% rispetto al mese precedente. Il rapporto definisce le vulnerabilità "ad alta minaccia" come problemi che potrebbero portare alla compromissione totale del sito, come il caricamento di file arbitrari o l'esecuzione di codice remoto (RCE), che richiedono 25 o più installazioni attive e accesso non autenticato o autenticato di basso livello. I problemi "comuni e pericolosi", tra cui cross-site scripting (XSS) memorizzato e SQL injection, devono interessare software con 500 o più installazioni.
Le prime cinque taglie di giugno evidenziano gravi falle di autenticazione e gestione dei file. Il premio singolo più alto di 5.200 dollari è andato a un ricercatore di nome vtim per un bypass dell'autenticazione non autenticato in UpdraftPlus: WP Backup & Migration Plugin, che interessa le versioni fino alla 1.26.4 nell'edizione gratuita e inferiori alla 2.26.5 nella premium, con una base di installazione di 4 milioni di siti. Una taglia di 2.048 dollari ha coperto un'escalation di privilegi non autenticata in JetFormBuilder versioni fino alla 3.6.2 tramite il parametro `_jet_engine_booking_form_id`. I plugin Newfold hanno ricevuto 1.950 dollari per un bypass dell'autenticazione causato da segreti token bearer vuoti, che interessano circa 100.000 installazioni. WPMU DEV Dashboard versioni fino alla 5.0.0 ha guadagnato 1.122 dollari per un bypass dell'autenticazione che consentiva l'installazione arbitraria di plugin (che porta a RCE) tramite un HMAC falsificato sull'endpoint `?wpmudev-hub=`. WPForms Pro fino alla versione 1.10.1.1 è stato premiato con 975 dollari per una scrittura arbitraria di file non autenticata tramite l'ordinamento dei caricamenti a blocchi.
In tutte le segnalazioni in ambito di giugno, il tipo di vulnerabilità più comune è stato CWE-79: Cross-Site Scripting, con 60 segnalazioni e 5.710 dollari in ricompense totali (media di 95,17 dollari). Il path traversal (CWE-22) è seguito con 21 segnalazioni e 2.488 dollari, poi SQL injection (CWE-89) con 20 e 1.839 dollari. Tuttavia, le ricompense medie più alte sono andate alla verifica impropria delle firme crittografiche (CWE-347) con 5.362,50 dollari per segnalazione, e all'autenticazione impropria (CWE-287) con 2.826 dollari. Suddivise per livello di autenticazione, le vulnerabilità non autenticate hanno costituito 89 delle segnalazioni valide e hanno guadagnato una media di 359,80 dollari, mentre i bug a livello di abbonato hanno avuto una media di 89,36 dollari, quelli a livello di collaboratore 49,73 dollari e quelli a livello di autore 18,83 dollari. Un piccolo gruppo di 10 scenari di autenticazione "personalizzati" ha avuto una media di 1.142,67 dollari. Anche la base di installazione è importante: le vulnerabilità nei plugin con 1.000.000-4.999.999 installazioni attive hanno pagato in media 1.502,25 dollari, mentre il software fuori repository (non nel repository ufficiale di WordPress) ha pagato 670,73 dollari e ha avuto un punteggio medio di gravità CVSS di 8,52.
I leader della comunità di ricerca per giugno riflettono punti di forza diversi. Per volume di segnalazioni in ambito, daroo ha guidato con 9 segnalazioni e una ricompensa media di 485,80 dollari, seguito da Rafie Muhammad (8, 208,13 dollari), CHOIGYEONGMIN (8, 21,63 dollari), 0xd4rk5id3 (7, 188,57 dollari) e Athiwat Tiprasaharn (Jitlada) (6, 14,17 dollari). Cinque ricercatori hanno ottenuto un punteggio CVSS medio perfetto di 9,80: Khaled Alenazi (Nxploited) con 2 segnalazioni, Hieus con 1, h0xilo con 1, vtim con 1 e Jiemook con 2. I guadagni totali sono stati guidati da vtim (5.200 dollari), daroo (4.858 dollari), d.v4n_s3c (2.038 dollari), sorin vasile (1.950 dollari) e Rafie Muhammad (1.665 dollari). Nessun ricercatore è avanzato ai livelli elite (1337) o intraprendente a giugno, e nessuna promozione bug bounty o sfida bonus è stata attiva durante il mese.
Le vulnerabilità più critiche divulgate a giugno sono state attivamente sfruttate in natura. Everest Forms Pro versioni fino alla 1.9.12 contenevano una falla di esecuzione di codice remoto non autenticata nella funzione `process_filter()` del Calculation Addon, che concatenava i valori dei campi modulo forniti dall'utente in una stringa di codice PHP passata a `eval()` senza un adeguato escaping. Gli aggressori potevano iniettare codice PHP arbitrario inviando un valore predisposto in qualsiasi campo modulo di tipo stringa, come testo, email, URL, select o radio, quando un modulo utilizzava la funzione "Calcolo complesso". Il ricercatore h0xilo ha guadagnato 325 dollari per la segnalazione. Burst Statistics – Privacy-Friendly WordPress Analytics versioni dalla 3.4.0 alla 3.4.1.1 consentivano il bypass dell'autenticazione e l'acquisizione dell'account amministratore perché la funzione `is_mainwp_authenticated()` gestiva in modo errato le password applicative dall'header Authorization. Un aggressore che conosceva un nome utente amministratore poteva impersonare quell'amministratore per una singola richiesta inviando una password casuale qualsiasi. Wordfence PRISM ha presentato questa segnalazione. Kirki – Freeform Page Builder, Website Builder & Customizer versioni dalla 6.0.0 alla 6.0.6 accettavano un indirizzo email arbitrario durante le richieste di reimpostazione della password, consentendo ad aggressori non autenticati di inviare il link di reimpostazione della password di qualsiasi utente alla propria casella di posta. Il ricercatore CHOIGYEONGMIN ha ricevuto 6.436 dollari per quella segnalazione. Anche il bypass dell'autenticazione di UpdraftPlus tramite il meccanismo `udrpc` di UpdraftCentral è stato critico, consentendo ad aggressori non autenticati di bypassare completamente l'autenticazione sui siti con il plugin installato.
Per i proprietari di siti web, il rapporto di giugno è un promemoria che gli aggiornamenti dei plugin non sono facoltativi. Il programma Wordfence esiste per far correggere queste falle e per distribuire la protezione al firewall prima della divulgazione pubblica, ma i proprietari dei siti devono comunque applicare tempestivamente le versioni corrette. Per coloro che preferiscono non gestire da soli aggiornamenti dei plugin, firewall e backup, un host WordPress gestito come AEU Hosting (albhosting.eu) automatizza l'hardening della sicurezza, i backup automatici, la gestione dei certificati SSL e l'ottimizzazione delle prestazioni, con supporto esperto a disposizione per aiutare a rispondere a vulnerabilità come queste.