Wordfence registra 440.000 attacchi a Super Forms ed Elementor Pro

Wordfence ha dichiarato di aver bloccato più di 440.000 tentativi di exploit mirati a due vulnerabilità critiche di plugin WordPress in Super Forms ed Elementor Pro, un'ondata che mostra quanto rapidamente gli attaccanti si muovano dopo che i bug di caricamento file diventano pubblici. Le due falle consentono a visitatori non autenticati di caricare un file di qualsiasi tipo, incluso un file PHP eseguibile, su un sito web vulnerabile, il che può portare a un'esecuzione di codice da remoto completa (ovvero l'attaccante può eseguire i propri comandi sul server) e alla compromissione dell'intero sito WordPress.

La prima falla, tracciata come CVE-2026-14894, riguarda Super Forms Drag and Drop Form Builder. Si tratta di una debolezza di mancata validazione del tipo di file con un punteggio di gravità CVSS di 9,8 su 10. Poiché il plugin non controlla che tipo di file viene inviato, un attaccante che non ha bisogno di effettuare l'accesso può inviare una richiesta di caricamento appositamente creata. La richiesta prende di mira l'endpoint super_submit_form su wp-admin/admin-ajax.php e trasporta un payload PHP codificato in Base64 mascherato con un prefisso data:image/gif;base64. Il file viene quindi scritto sul server come web shell PHP denominata Mushr00w_upl.php. Una web shell è un piccolo script backdoor che consente all'attaccante di eseguire comandi sul server di hosting e caricare ulteriore malware. Super Forms ha corretto questa vulnerabilità nella versione 6.3.314.

La seconda falla, CVE-2026-32475, riguarda Elementor Pro. Anch'essa ha un punteggio CVSS elevato, indicato come 9,0 in alcune fonti e 9,8 in altre. Wordfence descrive un bypass della validazione del caricamento: l'attaccante invia il campo File Upload del modulo come un array, ovvero una lista di due valori in un unico campo. Il primo valore è vuoto, e il secondo valore trasporta un payload PHP con un nome file .php. Questa struttura inganna il plugin inducendolo ad accettare il file. Lo sfruttamento riuscito richiede che il sito di destinazione abbia almeno una pagina Elementor pubblicata che contenga un widget Form con un campo File Upload. Una volta che il file arriva nella directory /wp-content/uploads/elementor/forms/ con un nome casuale ma con l'estensione .php fornita dall'attaccante, l'attaccante può richiederlo direttamente per eseguire comandi arbitrari. Elementor Pro ha corretto questa vulnerabilità nella versione 4.2.2. Patchstack ha divulgato i dettagli su questa falla il mese scorso.

Wordfence ha pubblicato due report questa settimana che descrivono gli attacchi. L'azienda ha già bloccato più di 250.000 tentativi di exploit contro CVE-2026-14894 e più di 190.000 contro CVE-2026-32475, per un totale combinato di oltre 440.000. Gli attacchi a Super Forms sono iniziati il 14 luglio 2026 e hanno raggiunto il picco con più di 40.000 richieste il 18 agosto 2026. Wordfence ha elencato dieci indirizzi IP collegati a quei tentativi: 103.168.147.235, 103.168.146.131, 103.154.152.178, 103.170.97.7, 182.10.130.51, 189.4.122.140, 129.227.46.143, 64.176.209.104, 103.164.182.122 e 37.9.33.62. Lo sfruttamento di Elementor Pro è iniziato il 19 agosto 2026 e ha avuto origine da dieci indirizzi IP: 2602:fa59:10:7a1::1, 185.196.220.85, 103.84.230.85, 103.90.148.202, 216.126.225.208, 167.254.240.75, 167.254.241.119, 114.10.17.253, 114.10.45.151 e 2406:ef80:2:7d19::1.

Questi non sono rischi teorici. Un attaccante che sfrutta con successo una delle due falle può scrivere una web shell PHP sul sito ed eseguire codice arbitrario. Da lì, può creare nuovi account amministratore, rubare dati o assumere il controllo dell'intera installazione WordPress. Una falla di caricamento arbitrario di file è particolarmente pericolosa su WordPress perché i file caricati sono di solito memorizzati all'interno di una cartella accessibile pubblicamente. Quando un server di hosting riceve una richiesta per un file .php in quella cartella, potrebbe eseguire il codice invece di mostrarlo come download. Ecco perché gli attaccanti rinominano una web shell con un'estensione .php e poi vi accedono direttamente. Per un tipico proprietario di sito web, l'effetto pratico è che un singolo plugin non aggiornato può trasformarsi in una compromissione completa del sito senza alcun segno visibile fino a quando è troppo tardi.

I proprietari di siti WordPress che utilizzano uno dei due plugin dovrebbero applicare immediatamente le correzioni, cercare segni che un sito sia stato accesso da un attaccante e controllare eventuali file .php inattesi o modificati di recente. Per i siti ospitati su AEU Hosting, il servizio di hosting WordPress gestito di AEU Group, la gestione incentrata sulla sicurezza della piattaforma può aiutare a mantenere il core di WordPress e i plugin aggiornati e monitorati, ma applicare la patch del fornitore rimane l'azione critica. Dopo il patching, controllare attentamente le directory di caricamento interessate e rimuovere eventuali file web shell che potrebbero essere già stati inseriti.