Le vulnerabilità di WordPress arrivano a 268 tra plugin e theme
Le vulnerabilità di WordPress divulgate dal 19 al 25 ottobre 2026 hanno raggiunto quota 268, distribuite tra 182 plugin e 15 theme, secondo le aggiunte al Wordfence Intelligence Vulnerability Database. Di queste falle, 225 disponevano di patch e 43 erano ancora senza patch. Le segnalazioni comprendevano sette problemi di gravità critica, 69 di gravità alta, 186 di gravità media e sei di gravità bassa; durante la settimana hanno contribuito con le proprie scoperte 124 ricercatori di sicurezza.
Le valutazioni della gravità utilizzano CVSS, il Common Vulnerability Scoring System, che assegna un punteggio da 0 a 10 per indicare quanto possa essere grave una falla di sicurezza. Tutte e sette le vulnerabilità critiche avevano una valutazione di 9,8 o 9,1 e risultavano dotate di patch. Advanced Custom Fields: Extended e la relativa edizione Pro fino alla versione 0.9.2.7 presentavano una falla di remote code execution senza autenticazione, CVE-2026-94267, che consentiva a un aggressore di eseguire codice senza prima effettuare l'accesso. La versione 0.9.2.7 era inoltre interessata da account takeover e privilege escalation, con cui un aggressore ottiene autorizzazioni che non dovrebbe avere, nella vulnerabilità CVE-2026-94268. L'edizione gratuita fino alla versione 0.9.2.7 presentava anche un problema di arbitrary file deletion, CVE-2026-112311. Queste segnalazioni sono state pubblicate tra il 20 e il 23 ottobre.
Gli altri problemi critici erano CVE-2026-115806 in Prime Mover fino alla versione 2.2.1, relativo a PHP object injection tramite un commento codificato in Base64 durante la ricerca e sostituzione della migrazione; CVE-2026-111832 in WP Mailster fino alla versione 1.9.1.0, che consentiva arbitrary file uploads; CVE-2026-102785 nelle versioni di YOOtheme Pro dalla 5.0.0 alla 5.0.52, che consentiva anch'esso arbitrary file uploads; e CVE-2026-111833 in weForms fino alla versione 1.6.28, che consentiva arbitrary file deletion. PHP object injection è l'elaborazione non sicura di dati appositamente costruiti che può indurre un'applicazione a eseguire azioni non previste. Queste quattro falle sono state pubblicate tra il 19 e il 22 ottobre e risultavano dotate di patch.
Diverse vulnerabilità di gravità alta non disponevano di una patch al momento dell'inserimento nel database. Academist Core fino alla versione 1.4.1 presentava local file inclusion senza autenticazione, CVE-2026-112820, che poteva indurre il sito a caricare un file locale che non avrebbe dovuto essere accessibile. Participants Database fino alla versione 2.7.8.5 presentava sia PHP object injection, CVE-2026-112862, sia SQL injection, CVE-2026-112860. SQL injection significa che comandi ostili per il database possono essere inseriti tramite input non adeguatamente protetti. EventON Subscriber fino alla versione 1.4.5 presentava un'altra falla di SQL injection senza autenticazione, CVE-2026-93300, relativa al suo parametro email.
Un gruppo di falle di PHP object injection senza patch interessava Hallelujah fino alla versione 1.1.1, Helion fino alla 1.1.12, Holistic Center fino alla 1.2.6, Hostme v2 fino alla 7.0, HotLock fino alla 1.3.9, Little Birdies fino alla 1.3.16, Redy fino alla 1.3.5, Reprizo fino alla 1.0.8, Rhodos fino alla 1.3.3, Save Life fino alla 1.2.14, Vagabonds fino alla 1.3.10 e ZenSoul fino alla 1.13. Hostme v2 fino alla versione 7.0 presentava inoltre stored cross-site scripting senza patch, CVE-2026-112849, mentre KALLYAS fino alla versione 4.25.0 aveva la stessa debolezza nella vulnerabilità CVE-2026-112863. Stored cross-site scripting consente a un sito di salvare codice dannoso per il browser e di inviarlo successivamente ai visitatori o agli amministratori. Your Dress fino alla versione 1.4.1 presentava local file inclusion senza patch, CVE-2026-112850.
Le scoperte di gravità alta dotate di patch coprivano un'ampia gamma di percorsi di attacco. Duplicator fino alla versione 1.5.17 e Duplicator Pro fino alla 4.6.10 presentavano PHP object injection senza autenticazione, CVE-2026-82814. Classified Listing fino alla versione 6.1.5 consentiva code execution agli utenti con ruolo Subscriber, CVE-2026-111828. Royal Addons for Elementor fino alla versione 1.7.1068 consentiva remote code execution agli account con ruolo Contributor, CVE-2026-111851. Royal MCP nelle versioni precedenti alla 1.5.7 presentava authentication bypass, CVE-2026-111958. Ajax Search Lite fino alla versione 4.14.6, Amelia fino alla 2.4.11, due intervalli di versioni di Click n Chat, Newsletters fino alla 4.18.1 e Product Filter for WooCommerce fino alla 3.4.6 figuravano tra i prodotti con falle di SQL injection senza autenticazione e dotate di patch.
Stored cross-site scripting rappresentava molte altre segnalazioni di gravità alta. Tra i prodotti interessati e dotati di patch figuravano Anti-Spam by CleanTalk fino alla versione 6.89.1, Better Messages fino alla 3.1.3, Contact Form Email fino alla 1.3.68, Eventin fino alla 4.1.26, Jane Menu fino alla 1.5.0, LiteSpeed Cache nelle versioni precedenti alla 7.9.2, Ninja Forms fino alla 3.15.5, Otter Blocks nelle versioni precedenti alla 3.2.8, le edizioni gratuita e Pro di PixelYourSite nelle versioni precedenti alla 11.4.3, SureCart fino alla 4.9.5, W3 Total Cache fino alla 2.10.7, WebP Express fino alla 0.25.15, Weglot fino alla 6.4.2 e WP Mailster fino alla 1.9.1.0. La maggior parte di queste vulnerabilità non richiedeva autenticazione, quindi un aggressore non avrebbe avuto bisogno di un account WordPress.
La categoria di debolezza più comune era missing authorization, registrata 75 volte. CWE, ossia Common Weakness Enumeration, è un metodo standardizzato per classificare gli errori di sicurezza del software. Improper handling of input during web-page generation seguiva con 69 rilevamenti, mentre untrusted-data deserialization ne rappresentava 20. Gli altri totali comprendevano 16 casi di authorization bypass through user-controlled keys, 13 debolezze di SQL command injection, 11 casi in cui la sicurezza lato server dipendeva da controlli eseguiti nel browser del visitatore, 10 esposizioni di informazioni sensibili, otto falle di privilege management, sette problemi di code-generation control e sei falle di autenticazione. Il database ha inoltre registrato cinque problemi di cross-site request forgery, cinque falle di incorrect authorization, cinque debolezze nella verifica dell'autenticità dei dati, quattro problemi di PHP file inclusion, quattro falle di path restriction e quattro problemi di dangerous file upload. Le categorie meno numerose riguardavano input validation, CAPTCHA guessing, authorization, link resolution e uncontrolled resource consumption.
Wordfence ha inoltre distribuito una firewall rule per un UDRPC key compromise che interessava UpdraftPlus fino alla versione 1.26.11. Una firewall rule è un filtro progettato per bloccare le richieste dannose che corrispondono a uno schema noto. I clienti di Wordfence Premium, Care e Response hanno ricevuto immediatamente la firewall rule, mentre il plugin gratuito avrebbe dovuto riceverla dopo un ritardo di 30 giorni. L'azienda afferma che il proprio database delle vulnerabilità contiene più di 40.000 record ed è accessibile tramite l'interfaccia gratuita, l'interfaccia di programmazione delle applicazioni e la webhook integration, che può inviare automaticamente notifiche a un altro sistema.
I proprietari dei siti dovrebbero confrontare ogni plugin e theme installato con le versioni interessate, installare gli aggiornamenti disponibili e rimuovere il software inutilizzato o ancora senza patch. Prima dell'aggiornamento è opportuno creare un backup, che tuttavia non deve essere considerato un sostituto dell'installazione delle correzioni di sicurezza. Wordfence afferma che i siti che utilizzano il suo plugin con la scansione attiva dovrebbero aver già ricevuto notifiche in caso di componenti interessati. Per le organizzazioni che preferiscono un supporto operativo per questo lavoro, AEU Hosting offre hosting WordPress gestito e protetto end to end.