Le vulnerabilità di WordPress generano 1.077 segnalazioni a luglio
Le vulnerabilità di WordPress hanno generato 1.077 segnalazioni al Wordfence Bug Bounty Program nel luglio 2026, l'1,0% in più rispetto al mese precedente. Wordfence ha dichiarato che erano attivi 281 ricercatori, l'8,2% in meno, mentre 84 segnalazioni sono state classificate come minacce elevate, con un aumento del 44,8%. Altre 73 sono rientrate nella categoria comune e pericolosa, con un incremento del 62,2%, e sono state pubblicate 15 regole per web application firewall, il 114,3% in più. Un web application firewall filtra le richieste dannose prima che raggiungano un sito web.
Delle 1.077 segnalazioni, Wordfence ne ha accettate 243 come rientranti nell'ambito del programma, ne ha contrassegnate 17 come esterne all'ambito, ne ha respinte 610 e ne ha identificate 207 come duplicati. Il suo processo comprende la convalida tecnica, il contatto con il fornitore interessato, la conferma di una patch e la copertura del firewall, ove applicabile. Wordfence afferma che i clienti Premium, Care e Response ricevono in tempo reale la protezione del firewall applicabile, mentre gli utenti gratuiti la ricevono dopo 30 giorni. I fornitori possono utilizzare il suo portale gratuito di gestione delle vulnerabilità per monitorare le segnalazioni riguardanti il proprio software.
Il programma definisce come minacce elevate le vulnerabilità capaci di determinare la compromissione completa di un sito, inclusi upload di file senza restrizioni o Remote Code Execution, vale a dire la possibilità di far eseguire al server comandi scelti da un aggressore. Queste vulnerabilità devono essere sfruttabili senza un account o tramite un account di basso livello, in software con almeno 25 installazioni attive. La categoria comune e pericolosa comprende stored cross-site scripting, in cui il codice ostile viene salvato e successivamente eseguito nei browser dei visitatori, e SQL injection, in cui comandi dannosi per il database vengono inseriti tramite input non protetti. Tali vulnerabilità devono interessare software con almeno 500 installazioni ed essere raggiungibili da aggressori non autenticati o con privilegi ridotti.
Wordfence ha assegnato $51.183 a luglio, con una media di $210,63 per ogni segnalazione convalidata e idonea. Il singolo premio più elevato è stato di $15.600 per un upload arbitrario di file senza autenticazione in Elementor Pro 4.2.1 e versioni precedenti, causato dall'aggiramento della convalida di un array del campo di upload. Il software risultava avere 5 milioni di installazioni. Gli altri premi principali sono stati: $2.048 per una configurazione falsificata del campo di upload che interessava Forminator Forms 1.56.1 e versioni precedenti, con 600.000 installazioni; $975 per un authentication bypass in User Profile Builder 3.16.4 e versioni precedenti che poteva portare all'acquisizione del controllo amministrativo, con 40.000 installazioni; $804 per stored cross-site scripting senza autenticazione in Independent Analytics 2.15.0 e versioni precedenti, con 100.000 installazioni; e $800 per SQL injection senza autenticazione in Unlimited Elements For Elementor 2.0.16 e versioni precedenti, con 300.000 installazioni.
CWE, ossia Common Weakness Enumeration, è un catalogo standard utilizzato per classificare gli errori di sicurezza del software. La classe accettata più di frequente è stata CWE 79, relativa a output non sicuri durante la generazione delle pagine web, con 80 segnalazioni, $13.415 di ricompense complessive e una media di $167,69. Gli upload pericolosi di file, CWE 434, hanno prodotto 18 segnalazioni, ma il maggiore esborso per categoria, pari a $21.909, con una media di $1.217,17. Anche SQL injection ha registrato 18 segnalazioni e ha generato premi per $2.968. Altre classi comuni includevano la gestione impropria dei privilegi con 16 segnalazioni, errori relativi ai percorsi con restrizioni con 10, autenticazione impropria con 11, authorization bypass controllato dall'utente con nove, autorizzazione mancante con nove, generazione non sicura di codice con tre e authentication bypass tramite percorsi alternativi con due. Singole vulnerabilità riguardanti la conversione errata dei tipi e la deserializzazione di dati non attendibili hanno ottenuto rispettivamente $975 e $615.
Le vulnerabilità senza autenticazione hanno dominato le categorie di accesso elencate, con 163 vulnerabilità e una ricompensa media di $350,84. Le vulnerabilità a livello di sottoscrittore sono state 60, con una media di $133,37, mentre 14 vulnerabilità senza autenticazione che richiedevano l'interazione tramite un'interfaccia utente hanno registrato una media di $74. Quattro casi con accesso personalizzato hanno avuto una media di $19,67. Anche la diffusione delle installazioni ha influito sulla definizione delle priorità. Il gruppo più numeroso riguardava software con un numero di installazioni compreso tra 1.000 e 49.999, per un totale di 81 vulnerabilità, con un punteggio CVSS medio di 7,4 e una ricompensa media di $147,53. CVSS, il Common Vulnerability Scoring System, valuta la gravità tecnica su una scala numerica. Il software non presente nei repository ha prodotto 31 vulnerabilità, con un punteggio medio di 9,0 e una ricompensa media di $871,60. Il software con un numero di installazioni compreso tra 100.000 e 999.999 ha rappresentato 38 vulnerabilità e una media di $384,87.
Il caso con le conseguenze più gravi ha interessato le versioni di WordPress Core dalla 6.9 alla 7.0.1. Un ricercatore di Assetnote / Searchlight Cyber ha scoperto che l'endpoint batch della REST API all'indirizzo /wp-json/batch/v1 poteva essere sfruttato per Remote Code Execution. Una REST API è un'interfaccia tramite la quale un software invia richieste strutturate a un'altra applicazione. Secondo l'analisi di Wordfence, il controllo e la convalida delle route potevano perdere la sincronizzazione, consentendo a una sotto-richiesta convalidata di raggiungere una callback non prevista. Ciò aggirava la restrizione allow_batch e la sanitizzazione dell'input della route di destinazione, mantenendo al contempo i parametri controllati dall'aggressore. La vulnerabilità poteva quindi essere concatenata con SQL injection per eseguire codice sul server.
Il WordPress Security Team ha pubblicato le versioni 6.8.6, 6.9.5 e 7.0.2 venerdì 17 luglio 2026. La release ha corretto due vulnerabilità che potevano essere concatenate per ottenere Remote Code Execution senza autenticazione, una combinazione comunemente chiamata wp2shell. WordPress ha descritto i problemi come una vulnerabilità critica e una di gravità elevata e, data la loro gravità, ha abilitato aggiornamenti automatici forzati per le release interessate.
Un incidente distinto ha interessato Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick nelle versioni 10.8.7 e 10.8.8. Wordfence PRISM ha rilevato una backdoor hardcoded entro due ore dalla sua introduzione. La funzione _arve_uc_init() del plugin veniva eseguita nelle prime fasi di ogni richiesta e accettava un token tramite il parametro _wplogin o _wpm. Confrontava tale token con un valore SHA-256 fisso incorporato in codice sorgente accessibile pubblicamente, senza nonce, controllo delle capability o convalida della password. Un nonce è un valore utilizzabile una sola volta, destinato a dimostrare che una richiesta proviene da una pagina o da una sessione prevista. Chiunque fosse in possesso del token universale poteva selezionare un account amministratore esistente e ottenere il pieno controllo del sito. Wordfence ha ritenuto probabile che un aggressore avesse introdotto il codice dopo aver ottenuto l'accesso ai commit dell'account dello sviluppatore, sebbene questa causa non sia stata confermata.
I proprietari dei siti dovrebbero installare le release di sicurezza di WordPress Core e verificare per ogni plugin elencato la disponibilità di aggiornamenti o la necessità di rimuoverlo. Dovrebbero inoltre controllare l'elenco degli amministratori alla ricerca di account sconosciuti, in particolare se era installato il plugin video interessato. Per le organizzazioni che desiderano affidare le operazioni di hosting a un servizio gestito, AEU Hosting offre hosting WordPress gestito e protetto end to end. I risultati di luglio evidenziano che gli aggiornamenti rapidi restano essenziali, perché le vulnerabilità più gravi non richiedevano un account esistente e potevano esporre un intero sito web.