WordPress: 52 delle 501 vulnerabilità divulgate restano senza correzione
Le segnalazioni di sicurezza relative a WordPress hanno totalizzato 501 vulnerabilità, di cui 52 ancora senza correzione, nel rapporto di Wordfence Intelligence relativo al periodo dal 28 settembre al 4 ottobre 2026. Secondo Wordfence, i problemi rilevati interessavano 367 plugin, i componenti aggiuntivi che estendono le funzioni di un sito, e nove temi, che ne controllano l'aspetto. Le cifre descrivono debolezze del software rese pubbliche, non il numero di siti web compromessi.
Wordfence ha aggiunto i risultati al proprio Intelligence Vulnerability Database e ha riconosciuto il contributo di 201 ricercatori di sicurezza nel periodo considerato. La suddivisione in base allo stato delle correzioni elenca 449 vulnerabilità come corrette, ossia con una correzione software disponibile, e 52 come non corrette. La disponibilità di una correzione non significa che sia stata installata su tutti i siti interessati. Allo stesso modo, la presenza di un prodotto nel rapporto non dimostra che tutte le sue versioni siano vulnerabili.
La suddivisione per gravità comprende 20 vulnerabilità critiche e 174 di gravità elevata, oltre a 306 di gravità media e una di gravità bassa. Queste categorie utilizzano il CVSS, Common Vulnerability Scoring System, un metodo standard per valutare la gravità delle debolezze del software. La gravità aiuta i proprietari dei siti a stabilire le priorità dei controlli, ma restano importanti la versione interessata e le condizioni necessarie per sfruttare una vulnerabilità. L'estratto del rapporto fornito non riporta questi dettagli per i singoli prodotti e non consente quindi di stabilire se una specifica installazione sia esposta.
Il cross-site scripting, in cui dati in ingresso non sicuri possono trasformarsi in codice eseguito dal browser su un sito web, è stata la categoria più numerosa, con 206 segnalazioni. La mancata autorizzazione, cioè l'assenza di un controllo sul permesso di eseguire un'azione, ha rappresentato 68 casi. La SQL injection, in cui dati appositamente predisposti alterano i comandi inviati a un database, ha rappresentato 42 casi. Wordfence ha inoltre contato 34 casi di esposizione di informazioni sensibili a soggetti non autorizzati e 30 casi di deserializzazione di dati non attendibili, in cui il software ricostruisce in modo non sicuro dati memorizzati forniti da una fonte non attendibile.
Il rapporto raggruppa le debolezze usando CWE, Common Weakness Enumeration, una classificazione condivisa degli errori di sicurezza del software. Altre categorie comprendevano 23 aggiramenti dell'autorizzazione tramite una chiave controllata dall'utente, in cui un dato modificabile poteva eludere un controllo dei permessi; 14 debolezze di iniezione di codice, in cui i dati in ingresso possono trasformarsi in istruzioni eseguibili; e 13 debolezze di path traversal, in cui una richiesta di file può accedere a percorsi esterni alla cartella prevista. Altri 13 casi riguardavano una gestione impropria dei privilegi, ossia poteri assegnati in modo errato all'interno del software.
Nove segnalazioni riguardavano l'applicazione dei controlli di sicurezza nel browser anziché sul server e otto un'autenticazione impropria, cioè problemi nel processo di verifica dell'identità. Sette erano casi di cross-site request forgery, in cui un utente può essere indotto con l'inganno a inviare al sito una richiesta per un'azione non voluta. Cinque consentivano il caricamento senza restrizioni di tipi di file pericolosi. Quattro riguardavano la server-side request forgery, in cui un sito può essere indotto a effettuare richieste di rete non previste, e quattro il consumo incontrollato di risorse, che può esaurire la capacità di elaborazione disponibile.
Le categorie meno numerose comprendevano tre segnalazioni ciascuna relative a nomi o percorsi di file controllati dall'esterno, inclusione non sicura di file remoti in PHP, il linguaggio di programmazione usato da WordPress, e reindirizzamenti verso siti non attendibili. Due riguardavano una convalida impropria dei dati in ingresso, ossia controlli inadeguati sui dati ricevuti. Singole segnalazioni riguardavano una condizione di competizione, in cui operazioni sovrapposte interagiscono in modo non sicuro; un CAPTCHA indovinabile, il test pensato per distinguere le persone dalle attività automatizzate; un'autorizzazione impropria; un'autorizzazione errata; un'iniezione generica; un'iniezione di comandi del sistema operativo; credenziali protette in modo insufficiente; un'altra categoria di path traversal; un malfunzionamento del meccanismo di protezione; e una password incorporata direttamente nel codice del software.
L'elenco dei prodotti visibile comprende strumenti per il commercio, i moduli, la creazione di siti, i backup, la ricerca e le prestazioni. Tra gli esempi figurano Autoptimize, Cache Enabler, EWWW Image Optimizer, All in One SEO, Beaver Builder Page Builder, CMB2, Download Monitor, EmbedPress, Essential Addons for Elementor, Event Tickets and Registration, Fluent Forms, Forminator Forms, Groundhogg, hCaptcha for WP, JetEngine, JetFormBuilder, Kadence Blocks e LearnPress. Sono citati anche BackupEase, BackupSheep WordPress Backup Plugin, Hostinger Migrator e Hostinger Reach. Consultate il singolo avviso di sicurezza, senza presumere che il nome di un prodotto identifichi una versione interessata. Il testo fornito si interrompe a metà dell'elenco dei plugin e non include i nomi dei nove temi.
Il Threat Intelligence Team di Wordfence afferma di esaminare le vulnerabilità in termini di impatto, gravità e probabilità di sfruttamento quando valuta la copertura del firewall. Un firewall filtra le richieste in ingresso per contribuire a bloccare il traffico dannoso. Per questo periodo, Wordfence ha indicato una protezione potenziata tramite WAF-RULE-963, ma non ha divulgato i dettagli della vulnerabilità mentre lavorava con il fornitore a una correzione. Il prodotto interessato e i dettagli tecnici restano quindi non divulgati nel testo fornito. I clienti di Wordfence Premium, Care e Response hanno ricevuto immediatamente la regola; gli utenti della versione gratuita ricevono quella protezione potenziata dopo un ritardo di 30 giorni. L'annuncio della regola non dimostra che siano coperte tutte le vulnerabilità del rapporto.
Tra i collaboratori a cui è stato riconosciuto un contributo, Ananda Dhakal figurava con 72 vulnerabilità, Intrudify con 19, Jakub Herman con 14, nh4tvd e neurotx con 12 ciascuno, Artus KG con 10, e Kuba e Rafie Muhammad con nove ciascuno. Wordfence PRISM figurava tra i collaboratori accreditati con sette. Wordfence invita i ricercatori a divulgare responsabilmente le proprie scoperte attraverso il suo Bug Bounty Program, che offre ricompense per le vulnerabilità idonee e un riconoscimento nella classifica Intelligence e nei rapporti settimanali.
Wordfence afferma che l'interfaccia del database, l'API e l'integrazione webhook sono gratuite per uso personale e commerciale. Un'API è uno strumento che consente ai software di scambiarsi informazioni; un webhook invia una notifica automatica quando qualcosa cambia. Aziende, fornitori di hosting e privati possono ottenere un'esportazione completa del database contenente oltre 40.000 vulnerabilità e usare le notifiche per seguire in tempo reale le nuove voci e gli aggiornamenti. Wordfence offre anche la possibilità di ricevere via email i rapporti settimanali sulle vulnerabilità e altri rapporti sulla sicurezza di WordPress. Presenta queste risorse come un supporto alla sicurezza a più livelli, che utilizza diverse misure di protezione anziché affidarsi a una sola.
Per i proprietari dei siti, il compito immediato è confrontare i plugin e i temi installati con le schede dettagliate del database, verificare le versioni interessate e applicare le correzioni disponibili. Eseguite un backup prima delle modifiche e controllate le funzioni essenziali dopo averle apportate. Se un componente installato presenta una vulnerabilità senza correzione, chiedete al suo sviluppatore o a un servizio di assistenza affidabile se debba essere disattivato o sostituito.