Le vulnerabilità di WordPress salgono a 362, di cui 43 senza patch
Le vulnerabilità di WordPress, ossia debolezze del software che possono esporre un sito web o i suoi dati, hanno raggiunto un totale di 362 nelle segnalazioni aggiunte al Wordfence Intelligence Vulnerability Database dal 14 al 20 settembre 2026. Wordfence ha attribuito i problemi a 247 plugin e quattro theme, con contributi da parte di 186 ricercatori di vulnerabilità. Tra le falle segnalate, 319 erano contrassegnate come corrette con una patch e 43 risultavano ancora senza patch.
La ripartizione per gravità comprendeva 18 vulnerabilità critiche, 74 di gravità elevata, 266 di gravità media e quattro di gravità bassa. Wordfence utilizza il Common Vulnerability Scoring System (CVSS), una scala standard per valutare il potenziale impatto e la sfruttabilità delle falle di sicurezza. La categoria di debolezza più numerosa era cross-site scripting, con 94 voci. Questo tipo di falla permette di archiviare o visualizzare contenuti non sicuri in una pagina web. Seguiva l'assenza di autorizzazione con 69 voci, mentre SQL injection, in cui input appositamente preparati possono interferire con i comandi del database, rappresentava 35 casi. Tra le altre categorie principali figuravano 27 authorization bypass basati su chiavi controllate dagli utenti, 27 esposizioni di informazioni sensibili, 19 falle nella gestione dei privilegi, 13 problemi di code injection e 12 pericolose vulnerabilità di file upload.
Tra le segnalazioni figurava una vulnerabilità di gravità elevata in WordPress Core. Le versioni di WordPress fino alla 7.1 inclusa erano interessate da stored cross-site scripting senza autenticazione nella gestione dei blockquote da parte di wpautop(). Senza autenticazione significa che un aggressore non avrebbe dovuto prima effettuare l'accesso. Il problema, identificato come CVE-2026-93485 e con un punteggio CVSS di 7.2, era contrassegnato come corretto con una patch. Wordfence ha dichiarato di aver distribuito immediatamente una protezione aggiuntiva tramite web application firewall, che filtra le richieste potenzialmente dannose rivolte al sito web, ai propri clienti Premium, Care e Response. Gli utenti della versione gratuita avrebbero dovuto ricevere la protezione dopo 30 giorni.
Wordfence ha inoltre distribuito una regola separata identificata come WAF-RULE-957, ma ne ha omesso i dettagli tecnici mentre collaborava con il relativo fornitore alla preparazione di una patch. Ciò significa che gli amministratori non possono utilizzare la descrizione pubblica per identificare il software interessato. La segnalazione non deve essere confusa con il problema di WordPress Core, che Wordfence ha indicato separatamente e contrassegnato come corretto con una patch.
Undici delle 18 vulnerabilità critiche risultavano corrette con una patch. Tra queste figuravano remote code execution senza autenticazione in Advanced Custom Fields: Extended PRO fino alla versione 0.9.2.6 e in Migratico Lite fino alla versione 2.6.8. remote code execution significa che qualcuno può far eseguire al server comandi software da remoto. Wordfence ha inoltre registrato falle critiche di privilege escalation in Choose User Role at Registration for WooCommerce fino alla versione 1.3.2 e in JetFormBuilder fino alla versione 3.6.2, oltre a una falla di file upload senza autenticazione in Gravity Forms fino alla versione 3.1.0.4.
Altre voci critiche corrette con una patch riguardavano TrueBooker fino alla versione 1.2.3, Ultimate Addons for Contact Form 7 dalla versione 3.2.4 alla 3.5.50, WooCommerce Online Product Designer fino alla versione 2.14.0 e wpShopGermany IT-RECHT KANZLEI fino alla versione 2.3. Forminator Forms fino alla versione 1.57.2 e WP Recipe Maker fino alla versione 10.8.1 erano interessati da arbitrary shortcode execution senza autenticazione, che può indurre WordPress a elaborare istruzioni per il sito fornite tramite un input non sicuro.
Sette voci critiche risultavano ancora senza patch. Le versioni da 2.35 a 2.36 di Admin Menu Editor Pro erano indicate come software contenente una backdoor. DS Ad Rotator fino alla versione 0.8, Multi Uploader for Gravity Forms fino alla versione 1.1.9 e WP images upload on piclect fino alla versione 1.0 presentavano vulnerabilità di arbitrary file upload senza autenticazione. Login with QR fino alla versione 1.0.0, Private Feed Key fino alla versione 0.1 e The Pressengine fino alla versione 1.0 presentavano falle di authentication bypass, che potevano consentire l'accesso protetto senza il normale controllo di autenticazione.
Le vulnerabilità di gravità elevata riguardavano anche diverse funzioni comuni dei siti web. Le versioni del theme Consulting fino alla 6.7.16 presentavano un problema di privilege escalation, corretto con una patch, sfruttabile dagli utenti di livello Subscriber. Location Manager fino alla versione 2.3.38 e Ni WooCommerce Sales Report fino alla versione 4.1.0 presentavano falle di SQL injection senza autenticazione corrette con una patch. Vulnerabilità analoghe di SQL injection risultavano ancora senza patch in Album Cover Finder fino alla versione 0.7.0, Price Drop Alert for WooCommerce fino alla versione 1.1, Product Question and Answer fino alla versione 1.1.0, SAMO Forms fino alla versione 1.0.0 e Yo dalla versione 1.1 alla 1.3.1.
I quattro theme inclusi nei totali settimanali erano Bridge, Consulting, Divi e VW Writer Blog. L'elenco dei plugin, molto più ampio, comprendeva strumenti per moduli, ecommerce, prenotazioni, iscrizioni, creazione di pagine, gallerie, autenticazione, caching e altre funzioni dei siti web. I proprietari dei siti devono quindi verificare il software installato in base al prodotto e alla versione esatti, invece di presumere che WordPress Core sia l'unico componente che richiede attenzione.
Gli amministratori dovrebbero aggiornare ogni voce contrassegnata come corretta con una patch, quindi disattivare e rimuovere il software senza patch, a meno che non sia essenziale e possa essere isolato in attesa di una correzione. Dovrebbero inoltre controllare gli account amministratore, i file caricati di recente e le modifiche inattese al sito, soprattutto quando una falla consentiva authentication bypass, privilege escalation, code execution o arbitrary file upload. Per le organizzazioni che preferiscono non gestire autonomamente l'infrastruttura WordPress, AEU Hosting offre hosting WordPress gestito e protetto end to end.
I dati sottolineano l'importanza di mantenere un inventario accurato di plugin e theme. Un componente installato ma non più utilizzato attivamente può comunque lasciare codice vulnerabile sul server, mentre un aggiornamento di sicurezza non può proteggere un sito finché la versione corretta non viene effettivamente installata.