Cinque vulnerabilità nei plugin di WordPress consentono la presa di controllo del sito
Cinque vulnerabilità critiche nei plugin di WordPress, più una in un tema molto usato, potrebbero consentire agli attaccanti di prendere il controllo dei siti web, secondo gli avvisi delle società di sicurezza Wordfence e Patchstack. I prodotti interessati sono il plugin WPMU DEV Dashboard, il tema Avada insieme al suo plugin Fusion Builder, il plugin multilingue TranslatePress, il plugin Pods per i tipi di contenuto personalizzati e il plugin per le donazioni GiveWP. I punteggi di gravità vanno da 9.8 fino a un massimo di 10.0, e i risultati segnalati includono bypass dell'autenticazione, presa di controllo dell'account ed esecuzione di codice arbitrario.
Per i lettori che non lavorano con i siti web ogni giorno, alcune definizioni aiutano. WordPress è il software che gestisce una gran parte dei siti nel mondo, e un plugin è un componente aggiuntivo che gli conferisce una funzionalità, come un modulo di donazione o uno strumento di traduzione, mentre un tema controlla l'aspetto del sito. Una vulnerabilità è un errore in quel codice che un attaccante può sfruttare. Ogni falla descritta di seguito ha un numero CVE, un identificatore di catalogo pubblico che permette ad amministratori e fornitori di riferirsi a uno specifico bug, e un punteggio CVSS, una scala da 0 a 10 ampiamente utilizzata in cui un numero più alto significa che la falla è più facile da sfruttare e fa più danni. Non autenticato significa che l'attaccante non ha bisogno di un account o di una password sul sito per iniziare, e accesso amministratore significa pieno controllo del sito.
La prima falla, CVE-2026-76581, ha un punteggio CVSS di 9.8 ed è un bypass dell'autenticazione nel plugin WPMU DEV Dashboard, che i proprietari usano per gestire i siti collegati al servizio WPMU DEV. Wordfence e Patchstack riferiscono che sui siti collegati a WPMU DEV in cui il Single Sign-On di Hub è abilitato e mappato a un amministratore, un attaccante senza account potrebbe ottenere l'accesso come amministratore e prendere il controllo del sito. L'intervallo interessato copre tutte le versioni fino alla 5.0.1 inclusa. Il single sign-on è una funzionalità che consente a un unico login di aprire diversi servizi collegati, ed è per questo che un errore al suo interno può concedere un accesso così ampio.
La seconda, CVE-2026-18431, ha anch'essa un punteggio di 9.8 ed è una scrittura arbitraria di file nel tema Avada. In parole semplici, l'attaccante può collocare file di propria scelta sul server web senza effettuare l'accesso. Poiché quei file possono essere file PHP, il linguaggio di scripting che WordPress usa per costruire le pagine, l'attaccante può poi farli eseguire dal server, cosa che gli avvisi descrivono come esecuzione di codice da remoto e compromissione completa del sito. Le condizioni qui contano: tutte le versioni di Avada fino alla 7.16 inclusa sono interessate, ma solo quando il plugin Fusion Builder è installato e attivo nelle versioni fino alla 3.16 inclusa.
La terza, CVE-2026-19632, ha un punteggio di 9.8 ed è un'esposizione di informazioni sensibili nel plugin indicato come TranslatePress, descritto come uno strumento per tradurre siti multilingue con traduzione basata su AI. Secondo gli avvisi, un attaccante non autenticato potrebbe estrarre l'URL grezzo di reimpostazione della password dell'amministratore, che include la chiave di reset in chiaro e i parametri di login, e usarlo per prendere completamente il controllo dell'account amministratore. Un link di reimpostazione della password viene normalmente inviato all'email del proprietario in modo che solo lui possa usarlo; se qualcun altro riesce a leggerlo, può impostare una nuova password da solo. Anche qui la configurazione interessata è ristretta: tutte le versioni fino alla 3.3.1 inclusa, ma solo quando il salvataggio automatico delle stringhe è abilitato e la lingua del profilo dell'amministratore preso di mira è impostata su una lingua secondaria pubblicata. Una lingua (locale) è l'impostazione linguistica associata al profilo di un utente.
La quarta, CVE-2026-19598, ha un punteggio di 9.8 ed è un'escalation di privilegi nel plugin indicato come Pods, il plugin per tipi di contenuto e campi personalizzati. I ricercatori riferiscono che un attaccante senza account può elevare i propri privilegi ad Amministratore, oppure sovrascrivere la password di qualsiasi account utente, incluso quello del proprietario del sito, il che equivale ancora una volta a una presa di controllo completa del sito. Tutte le versioni fino alla 3.3.9 inclusa sono interessate. L'escalation di privilegi significa iniziare con poco o nessun accesso e finire con molto di più.
La quinta falla si distingue perché raggiunge il massimo della scala. CVE-2026-82222 ha un punteggio CVSS di 10.0 e riguarda il plugin per le donazioni GiveWP, e consente a un attaccante di eseguire comandi arbitrari sul server di un sito GiveWP che ha un modulo di donazione pubblicato e un gateway di pagamento attivo. Tutte le versioni fino alla 4.16.7.1 inclusa sono interessate. Nel resoconto di Patchstack su questo caso, tre ingredienti si allineano: un helper di unserialize sicuro che è rotto, un flusso di donazione che alimenta quell'helper con dati controllati dall'attaccante, e una gadget chain nel codice fornito da GiveWP. Patchstack ha riassunto la lezione come l'iniezione di oggetti PHP che si trasforma in esecuzione di codice da remoto quando un luogo dove memorizzare un oggetto serializzato controllato dall'attaccante, codice che in seguito lo deserializza e una gadget chain nelle classi caricate si combinano tutti insieme. La deserializzazione è l'atto di trasformare dati memorizzati in oggetti di programma utilizzabili, e diventa pericolosa quando quei dati provengono da un attaccante invece che da una fonte attendibile.
Patchstack ha anche indicato le cause profonde che ha visto dietro questa classe di bug. Nella sua descrizione, i team si fidano di un sanitizzatore di serializzazione che in realtà non rimuove gli oggetti, deserializzano i dati letti dal database come se fossero attendibili, e includono nelle versioni di produzione librerie pensate solo per lo sviluppo, dove quelle librerie forniscono gadget chain già pronte che un attaccante può usare. Quest'ultimo punto è un promemoria del fatto che il codice aggiunto per comodità durante la costruzione di un prodotto può diventare un'arma se rimane nella versione finale.
Per i proprietari di siti web, il quadro pratico è questo. Tutti e cinque i problemi possono essere avviati senza che l'attaccante possieda un login, il che elimina la solita prima barriera, ma la maggior parte di essi necessita di una particolare configurazione per funzionare, come mostrano le condizioni sopra. Il materiale disponibile per questo rapporto descrive gli intervalli di versioni interessate ma non indica quale versione corregge ciascuna falla, quindi l'approccio sicuro è controllare la versione attuale di ciascun prodotto qui elencato e, se si trova pari o inferiore al numero indicato, considerare il sito esposto finché non hai confermato il contrario con il fornitore o il tuo provider di hosting. Chi gestisce un negozio, una pagina di donazioni o un sito con iscrizioni dovrebbe trattare questo come urgente e non come routine, perché l'accesso come amministratore o l'esecuzione di comandi sul server è il livello più profondo di compromissione che un sito web possa subire: un attaccante può leggere i dati dei clienti, modificare i contenuti, aggiungere pagine nascoste e continuare a tornare.
I siti che hanno molti componenti aggiuntivi sono quelli più esposti, e questa è un'area in cui un aiuto gestito fa la differenza. AEU Hosting (albhosting.eu) è il nostro servizio di hosting WordPress gestito, creato specificamente per i siti WordPress e che si occupa della parte di piattaforma della loro gestione, così i proprietari che preferiscono non seguire personalmente gli avvisi sui plugin possono consultare la pagina del servizio per vedere cosa è incluso. Qualunque hosting usi un sito, le stesse abitudini aiutano: rimuovi ciò che non usi, mantieni aggiornato ciò che tieni, e assicurati di poter ripristinare da un backup se qualcosa va storto.