Fallita criticità in WooCommerce Wholesale Lead Capture sfruttata per installare web shell

Gli attaccanti stanno attivamente sfruttando una vulnerabilità critica nel plugin WooCommerce Wholesale Lead Capture, un add-on a pagamento per WordPress con più di 6.000 installazioni attive, per installare web shell su siti web compromessi. Wordfence, azienda di sicurezza per WordPress, ha dichiarato che la falla consente ad attaccanti non autenticati di caricare file arbitrari, comprese backdoor PHP, e di ottenere l'esecuzione di codice in remoto. In parole semplici, qualcuno che non ha effettuato l'accesso può collocare un programma nascosto sul server di un sito e poi eseguire i propri comandi su quel server. L'azienda ha affermato di aver bloccato più di 100.000 tentativi di sfruttamento mirati a questa vulnerabilità da giugno 2026, con 99 di questi tentativi registrati nelle ultime 24 ore. Il problema è tracciato come CVE-2026-27540 e ha un punteggio di gravità CVSS di 9,8 su 10, considerato critico.

La vulnerabilità è un problema di caricamento arbitrario di file causato dalla mancanza di convalida del tipo di file in un'azione AJAX denominata wwlc_file_upload_handler. Un'azione AJAX è una funzione che viene eseguita in background quando un sito web invia una richiesta senza ricaricare l'intera pagina. La falla interessa tutte le versioni del plugin fino alla 2.0.3.1 inclusa. Poiché l'azione non verifica correttamente il tipo di file che viene caricato, un attaccante che non ha effettuato l'accesso può caricare qualsiasi file sul server del sito. Nell'attacco osservato da Wordfence, gli attori della minaccia hanno inviato richieste appositamente costruite all'azione AJAX wwlc_file_upload_handler con un parametro file_settings falsificato e un file PHP malevolo denominato shell.php. Il file caricato è una web shell, ovvero una piccola pagina che riporta informazioni sulla macchina host e include un modulo di caricamento basato su browser, in modo che l'attaccante possa scrivere ulteriori file malevoli sul sito WordPress interessato.

Wordfence ha elencato dieci indirizzi IP da cui hanno avuto origine i tentativi di attacco: 92.241.13.213, 31.59.129.150, 2a0f:85c1:840:5389::1, 92.241.13.140, 23.137.105.214, 23.180.120.140, 104.194.9.138, 187.75.114.36, 114.10.43.203 e 37.114.144.209. L'azienda consiglia ai proprietari di siti WordPress di verificare la presenza di file .php inattesi o creati di recente, specialmente nella directory uploads, e di esaminare i log del server per richieste sospette a /wp-admin/admin-ajax.php in cui il parametro action è impostato su wwlc_file_upload_handler e la richiesta proviene da uno di quegli indirizzi. Un file .php è un file di programma, e uno appena comparso può essere un segnale che è stata installata una web shell.

In un rapporto separato ma correlato, Wordfence ha descritto in dettaglio due falle critiche in The Events Calendar, un plugin WordPress installato su più di 600.000 siti web. Queste falle richiedono che la pagina dell'evento di destinazione abbia i commenti abilitati e che l'opzione Show comments on event pages del plugin sia attiva. La prima, CVE-2026-78159, ha un punteggio CVSS di 9,8 e deriva da una convalida insufficiente della mappa delle classi dei widget nella funzione parse_array. Interessa le versioni fino alla 6.17.3 inclusa. La seconda, CVE-2026-78006, anch'essa valutata 9,8, deriva da una protezione insufficiente nella funzione is_safe_widget_instance e interessa le versioni fino alla 6.17.4 inclusa. Entrambe le catene hanno origine nella pipeline di rendering dei widget del plugin e possono infine portare all'esecuzione di codice in remoto senza autenticazione. Il primo metodo utilizza il PHP Object Injection, un tipo di attacco che induce un programma del sito web a elaborare dati dannosi, per eseguire comandi arbitrari del sistema operativo sul server sottostante. Il secondo metodo aggira la protezione contro l'iniezione di oggetti e sfrutta una primitiva di chiamata arbitraria per reimpostare la password di un amministratore, dopodiché un attaccante può caricare un plugin malevolo e assumere il controllo completo del sito.

Wordfence ha avvertito che entrambe le catene possono essere attivate tramite l'anteprima dei commenti in attesa di WordPress, senza l'approvazione di un moderatore. Un attacco riuscito potrebbe portare alla presa di controllo completa del sito, al furto di dati sensibili e alla diffusione di malware. StellarWP, l'azienda che sviluppa The Events Calendar, ha corretto le falle rispettivamente nelle versioni 6.17.3.1 e 6.17.4.1. Per i proprietari di siti web e i team di hosting, questi due rapporti evidenziano come un singolo plugin vulnerabile possa esporre un'intera installazione WordPress. Gli attaccanti non hanno bisogno di credenziali valide quando manca un controllo sul caricamento dei file, e una web shell fornisce loro un punto d'appoggio per muoversi nell'ambiente di hosting. Mantenere aggiornati i plugin, monitorare la presenza di file inattesi e collocare un web application firewall davanti a un sito WordPress restano difese importanti. Un servizio di hosting WordPress gestito come AEU Hosting mira a mantenere la piattaforma e i suoi plugin protetti end to end, contribuendo a ridurre la finestra in cui tali falle dei plugin possono essere sfruttate.