Secondo Searchlight Cyber, due gravi falle affliggono WordPress. L’attacco Wp2shell sfrutta vulnerabilità che permettono l’esecuzione di codice remoto anche in assenza di autenticazione.
La società del CMS open source e gratuito è già corsa ai ripari, rilasciando le patch necessarie e forzando l’installazione degli update per mitigare il rischio cyber sulle versioni coinvolte.
“Wp2shell dimostra ancora una volta che WordPress viene spesso trattato come un semplice sito, quando in realtà è un sistema esposto su Internet e quindi un bersaglio permanente”, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0 e autore del libro “NIS2. La carta che guida: Un metodo per governare la sicurezza, oltre la conformità“.
“Occorre sottolineare ancora una volta come la ‘responsible disclosure’ sia un modello etico di fondamentale importanza per il contrasto alla diffusione e allo sfruttamento degli 0-day”, anche se ci sono aspetti nobili e meno nobili, aggiunge Enrico Morisi, Ict Security Manager.
Secondo Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360, “Wp2shell segna un punto di svolta: non è la solita vulnerabilità in un plugin, ma un bug nel cuore di WordPress che permette di prendere il controllo completo di un sito senza alcuna credenziale”. Ecco perché occorre proteggersi e come.
Indice degli argomenti
Attacco Wp2shell, le vulnerabilità sono due in WordPress
Basta sfruttare due vulnerabilità in WordPress, nelle versioni da 6.9.0 a 6.9.4 e da 7.0.0 a 7.0.1, per sferrare un attacco Wp2shell.
Le falle CVE-2026-63030 (errore nella gestione delle richieste batch della REST API) e CVE-2026-60137 (SQL injection) permettono l’accesso a funzionalità, in genere non disponibili senza autenticazione.
“Il fatto che basti una versione aggiornata del CMS, senza plugin o configurazioni particolari, rende questo rischio sistemico per centinaia di milioni di siti”, mette in guardia Dario Fadda.
Sarebbe possibile eseguire codice remoto, accedere ai dati, compromettere l’account amministratore e installare web shell o malware. È vulnerabile anche la versione 7.1.0 beta.
“Con l’avvento delle moderne tecnologie di AI, l’accesso a strumenti in grado di rilevare nuove vulnerabilità, è divenuto appannaggio di molti, indipendentemente dai fini, che possono essere nobili, come nel caso di Searchlight Cyber che risulterebbe essersi avvalsa di GPT-5.6 Sol Ultra o, per così dire, meno nobili”, avverte Enrico Morisi.
Le versioni da 6.8.0 a 6.8.5 sono invece soltanto esposte solo alla vulnerabilità CVE-2026-60137, dunque, non alla catena d’attacco completa. Finora i principali problemi di cyber security sono da attribuire ai plugin, ma questa volta concerne il codice “core” di WordPress.
“La vulnerabilità è grave perché consente la compromissione senza autenticazione e colpisce il core della piattaforma, non il solito plugin dimenticato da anni”, avverte Sandro Sana.
Come mitigare i rischi: patch urgenti
I ricercatori di Searchlight Cyber hanno realizzato un sito web per effettuare la verifica della presenza delle vulnerabilità.
Alcuni workaround temporanei permettono di mitigare i rischi, aspoettando l’installazione degli aggiornamenti. di sicurezza.
“Fortunatamente Wordpress ha implementato negli anni un approccio particolare alla sicurezza e aggiornamenti come questi, sulle installazioni esposte in Internet, arrivano in automatico anche senza intervento manuale“, sottolinea Dario Fadda.
Infatti WordPress ha sanato le falle nelle versioni 6.8.6, 6.9.5, 7.0.2 e 7.1.0 beta 2, forzando le installazioni in WordPress, a causa della severità dell’attacco.
“Aggiornare è obbligatorio, ma pensare che basti installare la patch è un errore. Se il sito è rimasto vulnerabile, bisogna verificare che non sia già stato violato, controllando log, account amministrativi, file modificati, plugin installati e possibili meccanismi di persistenza“, mette in guardia Sana.
Infatti, sono già in circolazione exploit funzionanti. Il codice, pubblicato su GitHub, è sfruttabile per conquistare diritti di amministratore, installando plugin infetti e rubando dati.
Occorre inoltre “tenere presente la straordinaria estensione della superficie d’attacco, trattandosi del coinvolgimento di milioni di siti: è anche per questa ragione, oltre che per il livello di severità che caratterizza wp2shell e il diffuso ricorso alle soluzioni di AI per lo sviluppo di ‘exploit chain’ funzionanti, che Wordpress.org si è adoperata per attivare l’aggiornamento forzato dei siti vulnerabili, tramite il sistema di auto-update”, ricorda Enrico Morisi.
Chi usa WordPress deve tempestivamente installare le versioni aggiornate, ma non basta.
Infatti “il vero problema resta la gestione: migliaia di aziende affidano siti e portali a fornitori senza sapere chi aggiorna, chi controlla e chi interviene in caso di incidente”, conclude amaramente Sana: “La vulnerabilità si corregge con una patch. L’assenza di governance, invece, continua a produrre vittime“.
La catena wp2shell nel catalogo KEV di CISA
“Il fatto che CISA abbia già provveduto a inserire le due vulnerabilità caratteristiche della chain wp2shell, nel suo catgalogo KEV (Known Exploited Vulnerabilities) è molto significativo e un indicatore inequivocabile del fatto che, aldilà dell’esistenza di PoC (Proof of Concept) si ha evidenza, come si dice, di exploitation “in the wild”: una vulnerabilità con score CVSS molto alto, potenziata da un’altra vulnerabilità, anche se con score più basso, di cui si ha già evidenza di sfruttamento nel mondo reale, sul campo, rappresenta una criticità decisamente elevata”, mette in risalto Enrico Morisi.
Per poter avere un quadro più preciso del livello di rischio che corre una data organizzazione, “sarebbe opportuno valutare le vulnerabilità anche con modelli decisionali ad albero, come ad esempio il SSVC (Stakeholder-Specific Vulnerability Categorization) di CISA e del Carnegie Mellon University’s Software Engineering Institute (SEI)“, avverte Enrico Morisi: “Però è evidente che, trattandosi di un attacco che può portare ad ottenere il controllo completo di un sito web, senza dover disporre di credenziali valide, la raccomandazione non può che essere quella di procedere con sollecitudine all’applicazione delle remediation indicate dalla stessa Searchlight Cyber, almeno per la CVE con score più elevato, tenendo presente che misure di mitigazione come la corretta configurazione dei sistemi e l’adozione di un Web Application Firewall, rappresentano sempre baluardi estremamente efficaci per disinnescare prontamente vulnerabilità di questo tipo“.
Partecipa alla community