Le vulnerabilità di WordPress lasciano 43 falle senza patch
Le vulnerabilità di WordPress divulgate dal 19 al 25 ottobre 2026 hanno interessato 182 plugin e 15 theme, secondo Wordfence Intelligence. Nel corso della settimana, il suo database ha aggiunto 268 vulnerabilità, tra cui 43 che risultavano ancora senza patch al momento della registrazione. Le altre 225 erano indicate come corrette tramite patch. Wordfence ha attribuito le segnalazioni a 124 ricercatori di vulnerabilità che hanno fornito il proprio contributo.
La gravità si è concentrata nelle fasce medie e alte: sette vulnerabilità erano critiche, 69 di gravità alta, 186 di gravità media e sei di gravità bassa. Queste valutazioni utilizzano il Common Vulnerability Scoring System (CVSS), una scala standard per stimare la gravità tecnica di una falla di sicurezza. Un CVE, ossia un identificatore Common Vulnerabilities and Exposures, assegna un numero di riferimento univoco a una falla documentata pubblicamente. Un punteggio elevato non conferma di per sé che gli aggressori abbiano sfruttato una vulnerabilità e Wordfence non ha segnalato casi di sfruttamento confermato per le falle evidenziate qui.
Tutte e sette le vulnerabilità critiche di WordPress disponevano di patch. Advanced Custom Fields: Extended e la relativa edizione Pro erano interessati da remote code execution senza autenticazione fino alla versione 0.9.2.7 (CVE-2026-94267), il che significa che un aggressore non avrebbe dovuto effettuare l'accesso prima di tentare di eseguire codice. La versione 0.9.2.7 presentava inoltre una falla di privilege escalation con account takeover senza autenticazione (CVE-2026-94268). L'edizione gratuita fino alla versione 0.9.2.7 era interessata separatamente da arbitrary file deletion senza autenticazione (CVE-2026-112311). Tutte e tre le falle sono state classificate come critiche: le prime due hanno ottenuto un punteggio di 9.8 e il problema di eliminazione dei file un punteggio di 9.1.
Le restanti vulnerabilità critiche riguardavano Prime Mover fino alla versione 2.2.1, con PHP object injection senza autenticazione durante le operazioni di ricerca e sostituzione nella migrazione di un commento codificato in Base64 (CVE-2026-115806); WP Mailster fino alla versione 1.9.1.0, con arbitrary file upload senza autenticazione (CVE-2026-111832); le versioni di YOOtheme Pro dalla 5.0.0 alla 5.0.52, anch'esse con arbitrary file upload senza autenticazione (CVE-2026-102785); e weForms fino alla versione 1.6.28, con arbitrary file deletion senza autenticazione (CVE-2026-111833). Tutte hanno ottenuto un punteggio di 9.8, ad eccezione del problema di weForms, che ha ottenuto 9.1. La PHP object injection si verifica quando dati non sicuri vengono riconvertiti in un oggetto software, con la possibilità di attivare comportamenti indesiderati dell'applicazione.
Tra le 69 vulnerabilità di gravità alta, alcuni esempi corretti tramite patch includevano PHP object injection senza autenticazione in Duplicator fino alla versione 1.5.17 e Duplicator Pro fino alla versione 4.6.10 (CVE-2026-82814), SQL injection in Ajax Search Lite fino alla versione 4.14.6 (CVE-2026-111852) e authentication bypass in Royal MCP nelle versioni precedenti alla 1.5.7 (CVE-2026-111958). La SQL injection consiste nell'utilizzo di input appositamente creati per manipolare i comandi inviati al database di un sito web. Altri casi di gravità alta corretti tramite patch includevano remote code execution in Royal Addons for Elementor fino alla versione 1.7.1068, arbitrary PHP code execution in Classified Listing fino alla versione 6.1.5 e due falle di stored cross-site scripting in LiteSpeed Cache nelle versioni precedenti alla 7.9.2. Lo stored cross-site scripting inserisce codice ostile destinato al browser in contenuti che vengono successivamente mostrati ai visitatori o agli amministratori.
Diversi prodotti con vulnerabilità di gravità alta erano ancora senza patch. Wordfence ha elencato una local file inclusion senza autenticazione in Academist Core fino alla versione 1.4.1 e Your Dress fino alla versione 1.4.1. Participants Database fino alla versione 2.7.8.5 presentava due vulnerabilità separate, rispettivamente di PHP object injection e SQL injection senza autenticazione. EventON Subscriber fino alla versione 1.4.5 presentava una SQL injection senza autenticazione tramite il proprio parametro email. La PHP object injection senza patch interessava inoltre i prodotti Hallelujah, Helion, Holistic Center, Hostme v2, HotLock, Little Birdies, Redy, Reprizo, Rhodos, Save Life, Vagabonds e ZenSoul nelle versioni interessate indicate. Hostme v2 fino alla versione 7.0 e KALLYAS fino alla versione 4.25.0 presentavano inoltre vulnerabilità di stored cross-site scripting senza patch.
La categoria di debolezza più comune era missing authorization, con 75 rilevamenti. Improper neutralization of input during web-page generation rappresentava 69 casi, seguita da deserialization of untrusted data con 20, authorization bypass through a user-controlled key con 16 e improper handling of special elements in SQL commands con 13. Client-side enforcement of server-side security è comparsa 11 volte, sensitive information exposure 10 volte e improper privilege management otto volte. Le categorie rimanenti includevano improper control of code generation (sette), improper authentication (sei), cross-site request forgery (cinque), incorrect authorization (cinque), insufficient verification of data authenticity (cinque), PHP include or require filename control (quattro), path restriction failures (quattro), dangerous file uploads (quattro), improper input validation (due) e un caso ciascuno di guessable CAPTCHA, improper authorization, improper link resolution e uncontrolled resource consumption.
Wordfence ha inoltre distribuito una regola del firewall per un problema di UpdraftPlus che interessava le versioni fino alla 1.26.11 ed era descritto come UDRPC key compromise. Un web application firewall filtra le richieste prima che raggiungano il codice vulnerabile del sito web. I clienti Wordfence Premium, Care e Response hanno ricevuto immediatamente la regola, mentre il plugin gratuito avrebbe dovuto riceverla dopo un ritardo di 30 giorni. Una regola del firewall costituisce un livello difensivo aggiuntivo, non un sostituto dell'installazione dell'aggiornamento di sicurezza del fornitore.
Wordfence afferma che il proprio scanner dovrebbe inviare una notifica ai siti che eseguono il plugin con la scansione attivata quando il software installato corrisponde a una voce del database. La sua interfaccia per le vulnerabilità, l'application programming interface (API) e l'integrazione webhook sono disponibili gratuitamente per uso personale e commerciale. L'API può fornire una copia di un database contenente più di 40.000 vulnerabilità, mentre i webhook possono inviare aggiornamenti quando le voci vengono aggiunte o modificate. Un webhook è un messaggio automatico inviato da un servizio a un altro quando si verifica un evento.
I proprietari dei siti dovrebbero confrontare le versioni installate di plugin e theme con gli intervalli interessati, applicare gli aggiornamenti disponibili e rimuovere il software non più necessario. Per un componente senza patch, disattivarlo e sostituirlo è più sicuro che lasciarlo esposto, in particolare quando la falla non richiede l'accesso. Prima di aggiornare o rimuovere software importante per il sito, è opportuno creare un backup ripristinabile e, ove possibile, verificare le modifiche in un ambiente di test. Per i lettori che desiderano affidare la gestione del livello di hosting a un servizio, AEU Hosting offre hosting WordPress gestito e protetto end to end.
Il volume delle segnalazioni dimostra inoltre perché controllare soltanto il core di WordPress non sia sufficiente. Plugin e theme ampliano le funzionalità di un sito, ma ogni componente installato aggiunge codice che deve essere monitorato, aggiornato e, quando non è disponibile una patch, disattivato o sostituito tempestivamente.