Vulnerabilità di WordPress Forminator consente l'esecuzione remota di codice

Wordfence, una società di sicurezza per WordPress, ha pubblicato i dettagli di una vulnerabilità critica in Forminator Forms, un plugin di WordPress con oltre 600.000 installazioni attive. WordPress è una piattaforma molto diffusa per siti web, e un plugin è un componente software aggiuntivo che estende le funzionalità di un sito. La falla è identificata come CVE-2026-15748 e ha un punteggio di gravità CVSS di 9,8 su 10,0, dove CVSS è un sistema di valutazione standard usato per misurare quanto è grave una vulnerabilità. È stata scoperta e segnalata da un ricercatore di sicurezza che usa lo pseudonimo online 'daroo'. Secondo Wordfence, la vulnerabilità permette a un attaccante non autenticato, cioè a qualcuno che non ha un account di accesso, di caricare file arbitrari, inclusi file PHP eseguibili. PHP è un linguaggio di scripting usato per creare e far funzionare molti siti WordPress. Ciò può portare all'esecuzione remota di codice su WordPress, il che significa che l'attaccante può eseguire i propri comandi sul server e prendere il controllo completo del sito.

Perché un attacco riesca, il sito preso di mira deve avere un modulo che includa sia un campo di caricamento file sia un campo di selezione. Un campo di caricamento file consente ai visitatori di allegare un file a un modulo inviato, mentre un campo di selezione è un elenco a discesa dal quale il visitatore sceglie un'opzione. La vulnerabilità riguarda tutte le versioni del plugin precedenti e fino alla versione 1.56.1 inclusa. È stata risolta nella versione 1.56.2, rilasciata il 31 luglio 2026. I proprietari dei siti che usano il plugin dovrebbero aggiornare il prima possibile.

Si tratta di una vulnerabilità di caricamento file che risiede in una parte del plugin che gestisce i file caricati, chiamata handle_file_upload(). Wordfence spiega che la funzione non convalida a sufficienza il tipo di file fornito dall'utente. Un attaccante può inviare un modulo appositamente creato che carica un file PHP malevolo, poi richiedere quel file per far eseguire al server web il codice. Il rapporto afferma che la lista di blocco delle estensioni pericolose esegue un confronto esatto delle chiavi, che viene aggirato da chiavi di tipo MIME con alternative separate da barra verticale. Un tipo MIME è un'etichetta che indica al software che tipo di file è, e una chiave con alternativa separata da barra verticale è un'etichetta che include una barra verticale con un tipo alternativo, che il confronto esatto non intercetta. Il gestore pubblico degli invii si fida anche della configurazione del campo di caricamento controllata dall'attaccante, iniettata tramite un valore contraffatto del campo di selezione. Questa combinazione consente a un attaccante non autenticato di collocare codice eseguibile sul server.

C'è una sfumatura importante su dove vengono memorizzati i file caricati. Nella configurazione predefinita, i file vengono caricati in una directory protetta da un file .htaccess, che è un file di configurazione del server che impedisce l'esecuzione del codice PHP. Tuttavia, se un amministratore del sito ha configurato una radice personalizzata per l'archiviazione dei file caricati, quella directory potrebbe non avere la stessa protezione. Wordfence osserva che il file .htaccess viene creato solo quando serve per la prima volta, durante una richiesta frontend in cui l'helper di WordPress responsabile della sua scrittura non è caricato. Di conseguenza, è sufficiente richiedere il file caricato per far eseguire al server web il codice PHP controllato dall'attaccante.

La divulgazione di Forminator arriva pochi giorni dopo che Wordfence ha evidenziato anche un altro bug critico di bypass dell'autenticazione in User Profile Builder, un altro plugin di WordPress con oltre 40.000 installazioni attive. Quella vulnerabilità è identificata come CVE-2026-15826 e ha anch'essa un punteggio CVSS di 9,8. È stata corretta il 16 luglio 2026 con il rilascio della versione 3.16.5. Tutte le versioni precedenti sono interessate, ma è sfruttabile solo sui siti in cui è attiva l'impostazione di accesso automatico del plugin. La falla coinvolge la funzione wppb_log_in_user(), che chiama absint() sul valore restituito da wp_insert_user() prima di verificare se si è verificato un errore con is_wp_error(). Qui, wp_insert_user() è una funzione di WordPress che crea un nuovo account utente, is_wp_error() controlla se è stato restituito un oggetto di errore, e absint() converte un valore in un numero intero assoluto. Quando viene inviata una registrazione con un nome utente lungo da 61 a 70 caratteri, il core di WordPress la rifiuta con un oggetto di errore, ma absint() trasforma quell'oggetto nel numero intero 1 prima che il controllo dell'errore possa fermare il processo. Questo fa sì che il plugin associ e restituisca un nonce di accesso automatico basato su transient legato all'ID utente 1, che di norma è il primo e più potente account amministratore su un sito WordPress. Un nonce è un token monouso usato per dimostrare che una richiesta è legittima. Un attaccante non autenticato può quindi accedere come quell'amministratore e prendere il controllo del sito.

Ai proprietari dei siti che hanno uno dei due plugin si consiglia di applicare gli aggiornamenti il prima possibile e di assicurarsi che le loro installazioni siano aggiornate. Per i proprietari di siti WordPress che preferiscono un hosting gestito e protetto end to end, AEU Hosting offre hosting WordPress gestito, protetto end to end, che può integrare i tempestivi aggiornamenti dei plugin. Se gestisci un sito WordPress, controlla i plugin installati e aggiorna Forminator Forms almeno alla versione 1.56.2 e User Profile Builder almeno alla versione 3.16.5 se li usi.