Secondo Searchlight Cyber, due gravi falle affliggono WordPress. L’attacco Wp2shell sfrutta vulnerabilità che permettono l’esecuzione di codice remoto anche in assenza di autenticazione.
La società del CMS open source e gratuito è già corsa ai ripari, rilasciando le patch necessarie e forzando l’installazione degli update per mitigare il rischio cyber sulle versioni coinvolte.
“Wp2shell dimostra ancora una volta che WordPress viene spesso trattato come un semplice sito, quando in realtà è un sistema esposto su Internet e quindi un bersaglio permanente”, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0 e autore del libro “NIS2. La carta che guida: Un metodo per governare la sicurezza, oltre la conformità“.
Secondo Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360, “Wp2shell segna un punto di svolta: non è la solita vulnerabilità in un plugin, ma un bug nel cuore di WordPress che permette di prendere il controllo completo di un sito senza alcuna credenziale”. Ecco perché occorre proteggersi e come.
Indice degli argomenti
Attacco Wp2shell, le vulnerabilità sono due in WordPress
Basta sfruttare due vulnerabilità in WordPress, nelle versioni da 6.9.0 a 6.9.4 e da 7.0.0 a 7.0.1, per sferrare un attacco Wp2shell.
Le falle CVE-2026-63030 (errore nella gestione delle richieste batch della REST API) e CVE-2026-60137 (SQL injection) permettono l’accesso a funzionalità, in genere non disponibili senza autenticazione.
“Il fatto che basti una versione aggiornata del CMS, senza plugin o configurazioni particolari, rende questo rischio sistemico per centinaia di milioni di siti”, mette in guardia Dario Fadda.
Sarebbe possibile eseguire codice remoto, accedere ai dati, compromettere l’account amministratore e installare web shell o malware. È vulnerabile anche la versione 7.1.0 beta.
Le versioni da 6.8.0 a 6.8.5 sono invece soltanto esposte solo alla vulnerabilità CVE-2026-60137, dunque, non alla catena d’attacco completa. Finora i principali problemi di cyber security sono da attribuire ai plugin, ma questa volta concerne il codice “core” di WordPress.
“La vulnerabilità è grave perché consente la compromissione senza autenticazione e colpisce il core della piattaforma, non il solito plugin dimenticato da anni”, avverte Sandro Sana.
Come mitigare i rischi: patch urgenti
I ricercatori di Searchlight Cyber hanno realizzato un sito web per effettuare la verifica della presenza delle vulnerabilità.
Alcuni workaround temporanei permettono di mitigare i rischi, aspoettando l’installazione degli aggiornamenti. di sicurezza.
“Fortunatamente Wordpress ha implementato negli anni un approccio particolare alla sicurezza e aggiornamenti come questi, sulle installazioni esposte in Internet, arrivano in automatico anche senza intervento manuale“, sottolinea Dario Fadda.
Infatti WordPress ha sanato le falle nelle versioni 6.8.6, 6.9.5, 7.0.2 e 7.1.0 beta 2, forzando le installazioni in WordPress, a causa della severità dell’attacco.
“Aggiornare è obbligatorio, ma pensare che basti installare la patch è un errore. Se il sito è rimasto vulnerabile, bisogna verificare che non sia già stato violato, controllando log, account amministrativi, file modificati, plugin installati e possibili meccanismi di persistenza“, mette in guardia Sana.
Infatti, sono già in circolazione exploit funzionanti. Il codice, pubblicato su GitHub, è sfruttabile per conquistare diritti di amministratore, installando plugin infetti e rubando dati.
Chi usa WordPress deve tempestivamente installare le versioni aggiornate, ma non basta.
Infatti “il vero problema resta la gestione: migliaia di aziende affidano siti e portali a fornitori senza sapere chi aggiorna, chi controlla e chi interviene in caso di incidente”, conclude amaramente Sana: “La vulnerabilità si corregge con una patch. L’assenza di governance, invece, continua a produrre vittime“.
Partecipa alla community