Le vulnerabilità di WordPress includono una core RCE chain critica
Le vulnerabilità di WordPress inviate al Wordfence Bug Bounty Program hanno raggiunto quota 1.077 nel luglio 2026, con un aumento dell’1,0% rispetto al mese precedente. Wordfence afferma che il suo team Threat Intelligence esamina e convalida le segnalazioni, coordina la divulgazione con i fornitori interessati, verifica le patch e crea protezioni firewall dove opportuno. I fornitori possono gestire le segnalazioni tramite il Vulnerability Management Portal gratuito. Un bug bounty program ricompensa i ricercatori di sicurezza che segnalano responsabilmente le vulnerabilità, affinché gli sviluppatori possano correggerle prima che vengano sfruttate dagli aggressori.
Il programma contava 281 ricercatori attivi, in calo dell’8,2% rispetto al mese precedente. Le segnalazioni comprendevano 84 vulnerabilità ad alta minaccia, con un aumento del 44,8%, e 73 classificate come comuni e pericolose, in crescita del 62,2%. Wordfence ha pubblicato 15 regole per web application firewall, con un aumento del 114,3%. Un web application firewall, o WAF, esamina le richieste dirette al sito web e blocca il traffico che corrisponde a modelli di attacco noti. Wordfence definisce vulnerabilità ad alta minaccia problemi come arbitrary file upload o remote code execution che un aggressore non autenticato o con privilegi limitati può sfruttare in software con almeno 25 installazioni attive. La categoria delle vulnerabilità comuni e pericolose comprende stored cross-site scripting e SQL injection in condizioni di accesso analoghe, in software con almeno 500 installazioni.
Tra le segnalazioni del mese, 243 sono state accettate perché rientravano nell’ambito del programma, 17 non rientravano nell’ambito, 610 sono state respinte e 207 erano duplicati. Wordfence ha assegnato $51.183 in ricompense, con una media di $210,63 per ogni segnalazione convalidata e pertinente. La ricompensa individuale più elevata è stata di $15.600. Wordfence afferma che i clienti Premium, Care e Response ricevono in tempo reale la protezione firewall applicabile, mentre le regole diventano disponibili agli utenti gratuiti dopo 30 giorni.
La ricompensa più consistente riguardava Elementor Pro fino alla versione 4.2.1 inclusa, in cui un aggressore non autenticato poteva aggirare la convalida dell’array di un campo di caricamento ed eseguire un arbitrary file upload. Per il software interessato erano indicate 5.000.000 di installazioni. Forminator Forms fino alla versione 1.56.1 inclusa ha ricevuto una ricompensa di $2.048 per un arbitrary file upload non autenticato mediante una configurazione contraffatta del campo di caricamento, con 600.000 installazioni. User Profile Builder fino alla versione 3.16.4 inclusa presentava un authentication bypass non autenticato che coinvolgeva una type confusion nel parametro `username` e poteva portare all’acquisizione di un account amministratore; la ricompensa è stata di $975 e il numero di installazioni indicato era 40.000. Independent Analytics fino alla versione 2.15.0 inclusa ha ricevuto una ricompensa di $804 per stored cross-site scripting non autenticato, riguardante un software con 100.000 installazioni indicate. Unlimited Elements For Elementor fino alla versione 2.0.16 inclusa ha ricevuto $800 per SQL injection non autenticata ed era indicato con 300.000 installazioni.
Stored cross-site scripting consente a un sito web di salvare codice ostile e distribuirlo ai visitatori successivi. SQL injection manipola i comandi del database di un sito tramite input non sicuro. Tra le segnalazioni accettate, la categoria più comune è stata CWE 79, gestione impropria dell’input durante la generazione delle pagine, con 80 segnalazioni, $13.415 in ricompense complessive e una media di $167,69. CWE 434, dangerous unrestricted file upload, ha registrato 18 segnalazioni, ma ha guidato la classifica delle ricompense totali con $21.909, pari a una media di $1.217,17. Anche le vulnerabilità CWE 89 legate a SQL hanno registrato 18 segnalazioni e ricompense per $2.968. Le altre categorie comprendevano gestione impropria dei privilegi con 16 segnalazioni, vulnerabilità nelle restrizioni dei pathname con 10, autenticazione impropria con 11, authorization bypass controllato dall’utente con nove, autorizzazione mancante con nove, generazione di codice non sicura con tre e authentication bypass tramite percorso alternativo con due. Singole segnalazioni riguardanti una conversione di tipo errata e la deserializzazione di dati non attendibili hanno ricevuto rispettivamente $975 e $615.
I requisiti di accesso hanno inciso notevolmente sul rischio segnalato. Wordfence ha elencato 163 vulnerabilità non autenticate con una ricompensa media di $350,84, 60 vulnerabilità a livello subscriber con una media di $133,37, 14 vulnerabilità non autenticate che richiedevano un’interazione con l’interfaccia utente con una media di $74 e quattro casi con accesso personalizzato con una media di $19,67. Anche i dati sulle installazioni variavano notevolmente. Le 31 vulnerabilità presenti in software distribuito al di fuori del repository ufficiale avevano in media un punteggio CVSS di 9,0 e una ricompensa di $871,60. CVSS, il Common Vulnerability Scoring System, valuta la gravità tecnica su una scala numerica. Le 81 vulnerabilità presenti in software con un numero di installazioni compreso tra 1.000 e 49.999 avevano una media di 7,4 e $147,53, mentre le 38 vulnerabilità nella fascia tra 100.000 e 999.999 installazioni avevano una media di 7,0 e $384,87. Nella fascia tra 1.000.000 e 4.999.999 è comparsa una sola vulnerabilità, con un punteggio di 7,2 e una ricompensa di $672.
Il problema più rilevante di WordPress Core è stato la wp2shell chain. Wordfence ha segnalato che le versioni di WordPress Core dalla 6.9 alla 7.0.1 erano vulnerabili a remote code execution, o RCE, tramite l’endpoint batch della REST API all’indirizzo `/wp-json/batch/v1`. RCE significa che un aggressore può indurre il server a eseguire comandi o codice senza essere fisicamente presente. La REST API è un’interfaccia che consente al software di scambiare richieste con WordPress. Una discrepanza tra la convalida e il dispatch della route poteva consentire a una sub-request convalidata di raggiungere una callback non prevista, aggirare la restrizione `allow_batch` ed evitare la pulizia dell’input della route di destinazione. La vulnerabilità poteva quindi essere combinata con SQL injection per eseguire codice sul server.
Il WordPress Security Team ha pubblicato le versioni corrette 6.8.6, 6.9.5 e 7.0.2 il 17 luglio 2026. Le note di rilascio hanno classificato le due vulnerabilità utilizzate nella wp2shell chain rispettivamente come un problema critico e uno di gravità elevata. A causa della gravità, per le versioni interessate sono stati abilitati aggiornamenti automatici forzati. Wordfence ha descritto la chain come la prima vulnerabilità RCE critica e non autenticata di WordPress Core in quasi un decennio e ne ha attribuito la scoperta e la divulgazione responsabile ad Assetnote e Searchlight Cyber.
Un caso separato ha interessato Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … nelle versioni 10.8.7 e 10.8.8. Wordfence PRISM ha identificato una backdoor hardcoded che poteva consentire a un aggressore non autenticato di assumere il controllo di uno specifico account amministratore esistente. La funzione `_arve_uc_init()` veniva eseguita a ogni richiesta prima dei controlli di autenticazione, accettava un token tramite il parametro `_wplogin` o `_wpm` e lo confrontava con un hash SHA-256 incorporato nel plugin. Il processo non prevedeva alcuna verifica del nonce, capability check o convalida della password. Un nonce è un valore utilizzabile una sola volta, destinato a dimostrare che una richiesta proviene dalla pagina o dalla sessione prevista. Poiché la credenziale universale era esposta nel codice del plugin, chiunque conoscesse il token poteva utilizzarla. Wordfence ha affermato che la backdoor è stata probabilmente introdotta dopo che un aggressore ha ottenuto l’accesso di commit all’account dello sviluppatore, ma ha presentato questa origine come probabile e non come un fatto confermato.
Durante il periodo di riferimento non erano attive promozioni sulle ricompense e nessun ricercatore è passato ai livelli Elite o Resourceful. Per i proprietari dei siti, la lezione pratica è installare tempestivamente le release di sicurezza di WordPress, aggiornare o disabilitare i plugin interessati e mantenere backup ripristinabili prima di apportare modifiche.