Le vulnerabilità di WordPress arrivano a 498 tra plugin e theme
Le vulnerabilità di WordPress divulgate dal 12 al 18 ottobre 2026 hanno raggiunto quota 498 tra 328 plugin e 23 theme, secondo Wordfence Intelligence. Di queste falle, 431 risultavano corrette con una patch e 67 erano ancora senza patch. Wordfence ha attribuito a 218 ricercatori di vulnerabilità il contributo alle scoperte della settimana, mentre il suo programma PRISM ha rappresentato 40 voci. Questo volume implica che i proprietari dei siti debbano controllare le estensioni installate in base al prodotto e alla versione esatti, anziché presumere che un normale aggiornamento del core di WordPress risolva i rischi.
La suddivisione per gravità comprendeva 23 vulnerabilità critiche, 153 di gravità alta, 316 media e sei bassa. Queste valutazioni utilizzano CVSS, il Common Vulnerability Scoring System, che assegna un punteggio in base all'impatto potenziale di una falla e alla facilità con cui può essere sfruttata. La categoria tecnica più numerosa riguardava la gestione impropria degli input utilizzati per generare pagine web, con 159 casi, seguita da 116 falle dovute alla mancanza di autorizzazione. Wordfence ha inoltre registrato 34 problemi di SQL injection, nei quali input manipolati possono alterare i comandi inviati al database, e 33 casi di unsafe deserialization, nei quali i dati memorizzati vengono ricostruiti in oggetti software senza controlli adeguati. Gli altri totali comprendevano 31 esposizioni di informazioni sensibili, 22 falle nella gestione dei privilegi, 20 authorization bypass con key controllate dagli utenti, 15 debolezze nella generazione del codice, 11 upload di file pericolosi e 10 problemi di path traversal che potevano raggiungere file esterni alla directory prevista.
Le categorie rimanenti comprendevano nove controlli insufficienti dell'autenticità, sette falle di cross-site request forgery, sei problemi di autenticazione impropria, cinque controlli non sicuri delle funzioni include o require di PHP, quattro casi in cui la sicurezza lato server veniva applicata lato client, tre falle di autorizzazione non corretta, tre problemi di server-side request forgery, due falle generiche nella convalida degli input e due reindirizzamenti verso siti non attendibili. Le singole segnalazioni riguardavano l'accesso concorrente non sicuro a una risorsa condivisa, codice malevolo incorporato, controllo degli accessi improprio, output non sicuro trasmesso a un altro componente, command injection e valori non sufficientemente casuali.
Diciannove falle critiche hanno ricevuto un punteggio CVSS di 9,8. Tra queste figuravano un arbitrary file upload non autenticato in 10Web Booster fino alla versione 2.34.10 inclusa, identificato come CVE-2026-108587, e due falle di Abandoned Cart Pro for WooCommerce fino alla versione 10.8.0 inclusa: authentication bypass tramite un link di recupero, CVE-2026-97657, e SQL injection tramite i dati del carrello degli ospiti, CVE-2026-97668. Non autenticato significa che un attaccante non avrebbe bisogno di effettuare l'accesso. AGE-GATE fino alla versione 1.0 inclusa presentava un problema di PHP code injection senza patch che consentiva remote code execution, ossia l'esecuzione di comandi sul server, identificato come CVE-2026-104800. Anche JTL-Connector for WooCommerce fino alla versione 2.4.3 inclusa era ancora senza patch per un arbitrary file upload, CVE-2026-87855.
Altri problemi con valutazione 9,8 erano stati corretti con patch in ELEX WordPress HelpDesk fino alla versione 3.3.7 inclusa, CVE-2026-103768; LearnPress fino alla 4.4.10 inclusa, CVE-2026-104736; MailOptin fino alla 1.2.78.6 inclusa, CVE-2026-109515; Mang Board 2.4.4, CVE-2026-109219; MDTF fino alla 1.3.9 inclusa, CVE-2026-108151; My Calendar fino alla 3.8.7 inclusa, CVE-2026-104798; OTP Login & Register Woocommerce fino alla 2.7.2 inclusa, CVE-2026-110135; Printcart Store fino alla 2.9.1 inclusa, CVE-2026-93388; SimpleForm fino alla 3.10.0 inclusa, CVE-2026-104748; Sunshine Photo Cart fino alla 3.7.4 inclusa, CVE-2026-104730; The Grid fino alla 2.8.1 inclusa, CVE-2026-94169; e Theme My Login fino alla 7.2.1 inclusa, CVE-2026-89079. Rank Math SEO PRO 3.0.123 risultava corretto con una patch per codice malevolo incorporato, identificato come CVE-2026-111862. Snazzy Social Media Feed fino alla versione 2.5 inclusa era ancora senza patch per una falla di arbitrary file upload, CVE-2026-110002.
Altre quattro segnalazioni critiche hanno ottenuto un punteggio di 9,1. LatePoint fino alla versione 5.7.4 inclusa presentava un authentication bypass corretto con una patch, causato da una race condition nel contatore dei tentativi con password monouso, CVE-2026-110653. Click to Chat fino alla versione 4.44 inclusa presentava un problema corretto con una patch che consentiva l'esecuzione arbitraria di shortcode, CVE-2026-92097, mentre File Upload to Order fino alla versione 1.1.3 inclusa presentava una falla di arbitrary file deletion corretta con una patch, CVE-2026-107594. BuddyPress XProfile Custom Image Field fino alla versione 3.1.0 inclusa era ancora senza patch per un arbitrary file deletion non autenticato; la voce del database mostrata da Wordfence non riportava alcun identificatore CVE.
Le segnalazioni di gravità alta comprendevano falle di remote code execution o file upload in affiliate-toolkit, DoubleScale CRM, Email Customizer for WooCommerce, FV Flowplayer, HivePress, MapSVG, WP Photo Album Plus e YaySMTP. L'accesso necessario variava dai ruoli subscriber e contributor ad altri ruoli specifici dei prodotti. PilotPress fino alla versione 2.0.43 inclusa e le versioni di Salon Booking System dalla 10.17 alla 10.31.10 presentavano problemi di privilege escalation corretti con patch. Gravity Forms precedente alla versione 3.1.1 presentava una falla di PHP object injection non autenticata e corretta con una patch, CVE-2026-97296, mentre Backuply fino alla versione 1.5.8 inclusa e Search Regex 3.5 presentavano falle corrette con patch e valutate 8,0, che potevano portare a privilege escalation o remote code execution.
Un rilevante gruppo di theme era ancora senza patch al momento della pubblicazione. Avventure, Bonbon, Coinpress, Edge Decor, EmojiNation, Filmax, gamezone, Gamic, Good Homes, Gunslinger, Le Truffe, Legal Stone, Marcell, Meals & Wheels, Mission, Motorix, Muzicon, Nuts e Orpheus risultavano ciascuno affetti da vulnerabilità di PHP object injection non autenticata con valutazione 8,1. Le versioni massime interessate variavano a seconda del theme e le voci riportavano identificatori CVE compresi tra CVE-2026-61997 e CVE-2026-62018, con alcuni numeri mancanti nella sequenza. Wordfence ha inoltre segnalato problemi di gravità alta senza patch in Contact Form 7 Signature Addon fino alla versione 4.2.2 inclusa, Gmedia Photo Gallery fino alla 1.25.1 inclusa e JTL-Connector fino alla 2.4.3 inclusa.
Wordfence ha dichiarato di aver distribuito WAF-RULE-966 e WAF-RULE-967, senza divulgare i dettagli tecnici mentre collaborava con i fornitori allo sviluppo delle patch, oltre a una protezione per un problema di PHP object injection nei commenti. Un WAF, o web application firewall, esamina le richieste web e può bloccare schemi malevoli noti. I clienti Premium, Care e Response hanno ricevuto immediatamente queste regole, mentre per il plugin gratuito la distribuzione era prevista dopo 30 giorni. Wordfence offre inoltre accesso gratuito alla propria interfaccia per le vulnerabilità, alle API e alle integrazioni webhook, compreso un database contenente più di 40.000 vulnerabilità; un webhook invia automaticamente un aggiornamento a un altro servizio quando cambiano le informazioni nel database.
I siti che utilizzano il plugin Wordfence con la scansione abilitata dovrebbero aver ricevuto avvisi quando interessati, ma gli amministratori devono comunque intervenire in risposta a tali avvisi. Per i prodotti senza patch, disabilitare e rimuovere l'estensione interessata è il modo più chiaro per eliminarne il codice dal sito finché non sarà disponibile una versione corretta. Per le organizzazioni che preferiscono utilizzare la piattaforma del sito come servizio gestito, AEU Hosting offre hosting WordPress gestito e protetto end to end. Indipendentemente dalla configurazione dell'hosting, i proprietari dovrebbero mantenere un inventario dei plugin e dei theme attivi, rimuovere il software che non utilizzano più e verificare che le versioni installate non rientrino negli intervalli interessati.