I siti WordPress affrontano 318 vulnerabilità appena elencate

I proprietari di siti WordPress hanno una lunga lista di patch da esaminare dopo che Wordfence ha dichiarato di aver aggiunto 318 vulnerabilità in 221 plugin WordPress al Wordfence Intelligence Vulnerability Database per la settimana dal 21 al 27 settembre 2026. L’azienda ha attribuito le divulgazioni a 156 ricercatori di vulnerabilità e ha detto che 305 dei problemi elencati erano stati corretti, mentre 13 restavano senza patch al momento della pubblicazione.

La combinazione dei livelli di gravità è importante per i proprietari di siti web perché non tutti i bug dei plugin comportano lo stesso rischio operativo. Wordfence ha classificato 14 vulnerabilità come critiche, 79 come di gravità alta e 225 come di gravità media. CVSS, il Common Vulnerability Scoring System, è il metodo di punteggio usato per valutare quanto sia grave una falla di sicurezza. In questo insieme, il tipo di debolezza più comune era cross-site scripting, in cui input non sicuri possono far eseguire a un sito web codice script indesiderato nel browser di un visitatore o di un amministratore. Wordfence ha contato 95 voci di cross-site scripting, seguite da 59 problemi di autorizzazione mancante, 26 problemi di authorization bypass usando chiavi controllate dall’utente e 24 problemi di SQL injection, in cui query di database non sicure possono esporre o alterare dati memorizzati.

Diverse voci critiche sono particolarmente rilevanti per gli amministratori dei siti perché coinvolgono accesso unauthenticated, cioè un attaccante non avrebbe bisogno di effettuare il login. Wordfence ha indicato Automation Web Platform fino alla versione 4.8.6 inclusa come interessato da CVE-2026-14281, un problema di escalation dei privilegi unauthenticated tramite il parametro wawp_custom_fields, con un punteggio CVSS di 9.8 e stato della patch contrassegnato come corretto. Give Tributes fino alla versione 2.3.1 inclusa è stato elencato con CVE-2026-19658, un problema di PHP object injection unauthenticated tramite il parametro personalizzato del destinatario give_tributes_ecard_notify, anch’esso valutato 9.8 e contrassegnato come corretto. PHP object injection è una falla in cui la gestione non sicura di oggetti di dati PHP memorizzati può consentire a un attaccante di interferire con il comportamento dell’applicazione.

Wordfence ha anche elencato Meta Box AIO fino alla versione 3.11.0 inclusa e le estensioni plugin standalone con CVE-2026-13355, descritto come escalation dei privilegi unauthenticated ad amministratore tramite il parametro rwmb_frontend_field_object_id. Le voci software interessate mostrate includono Meta Box AIO, Meta Box Frontend Submission e Meta Box User Profile, e il problema è contrassegnato come corretto. Altre voci critiche corrette includono miniOrange OTP Login, Verification and SMS Notifications fino alla versione 5.5.5 inclusa con CVE-2026-85984, un authentication bypass unauthenticated tramite il parametro mo_wp_login_intent, Paytium fino alla versione 5.0.3 inclusa con CVE-2026-18467, un problema di escalation dei privilegi unauthenticated, Ultra Addons for Contact Form 7 fino alla versione 3.5.50 inclusa con CVE-2026-82901, un arbitrary file upload unauthenticated tramite un campo firma del modulo, Visual Composer Website Builder fino alla versione 45.16.0 inclusa con CVE-2026-12227, un local file inclusion unauthenticated tramite il parametro vcv-template, e YAHMAN Add-ons fino alla versione 0.9.30 inclusa con CVE-2026-75799, un problema di remote code execution unauthenticated.

Una voce critica relativa a un plugin non era corretta nei dati pubblicati da Wordfence: Request a Quote for WooCommerce fino alla versione 2.9.2 inclusa, tracciata come CVE-2026-18143, un problema di arbitrary file upload unauthenticated tramite un handler popup AJAX. Le falle di arbitrary file upload sono importanti per i team di hosting ed ecommerce perché i percorsi di caricamento dei file possono diventare una via per inserire file indesiderati su un sito web se il componente vulnerabile non limita correttamente ciò che può essere caricato. Wordfence ha anche elencato Customer Reviews for WooCommerce fino alla versione 5.120.0 inclusa con CVE-2026-89055, un problema critico di eliminazione arbitraria di allegati unauthenticated contrassegnato come corretto, e Online Scheduling and Appointment Booking System, Bookly, fino alla versione 28.2 inclusa con CVE-2026-93399, un problema critico di divulgazione ed eliminazione di booking token contrassegnato come corretto.

Il gruppo di gravità alta includeva un problema corretto nel core di WordPress: WordPress fino alla versione 7.1.1 inclusa, tracciato come CVE-2026-87902, descritto da Wordfence come un problema di local file inclusion unauthenticated tramite path traversal in locate_template(). Local file inclusion significa che una falla può far caricare al software un file dallo stesso sistema che non dovrebbe caricare, e path traversal significa che l’input può essere modellato per raggiungere file fuori dalla cartella prevista. Wordfence ha detto che il suo Threat Intelligence Team ha esaminato le vulnerabilità per impatto, gravità e probabilità di sfruttamento, e che ha distribuito regole firewall potenziate per tre problemi redacted mentre collaborava con i vendor sulle patch, oltre al problema di local file inclusion nel core di WordPress. Secondo Wordfence, i clienti Premium, Care e Response hanno ricevuto subito quelle protezioni, mentre gli utenti free ricevono la protezione potenziata dopo un ritardo di 30 giorni.

Altri esempi di gravità alta mostrano l’ampiezza delle funzioni dei plugin interessate. Wordfence ha elencato CartFlows fino alla versione 3.2.0 inclusa con CVE-2026-96837, un problema di remote code execution per Contributor autenticato o superiore, Elementor Website Builder versioni da 4.3.0 a 4.3.1 con CVE-2026-62062, un problema di cross-site request forgery tramite REST nonce bypass verso escalation dei privilegi, s2Member fino alla versione 260814 inclusa con CVE-2026-19804, un problema di remote code execution unauthenticated tramite il parametro first_name in PayPal Proxy Return, Ninja Forms fino alla versione 3.15.3 inclusa con CVE-2026-91827, un problema di PHP object injection unauthenticated, e WebFacing Email Accounts for cPanel versioni da 5.3 a 5.3.6 con CVE-2026-84069, un problema di local file inclusion unauthenticated. Sono state elencate anche diverse voci di gravità alta senza patch relative a SQL injection o server-side request forgery, tra cui Bluff Post fino alla versione 1.1.1 inclusa, Rename wp-login.php to anything you want fino alla versione 2.0.1 inclusa, SPS-Suite fino alla versione 1.4.0 inclusa e Testimonials Widget fino alla versione 4.0.4 inclusa.

Per le aziende, il messaggio pratico è prima inventariare, poi aggiornare o rimuovere il rischio. Un’installazione WordPress può dipendere da molti plugin per moduli, pagamenti, prenotazioni, membership, mappe, gallerie, recensioni e flussi ecommerce, quindi un plugin vulnerabile può trovarsi al di fuori dello stack di sicurezza più evidente. Wordfence ha detto che i siti che eseguono il suo plugin con lo scanner abilitato dovrebbero essere già stati avvisati se interessati, ma i proprietari dovrebbero comunque confrontare la lista dei plugin installati e le relative versioni con il software interessato che usano, soprattutto quando un problema è senza patch o unauthenticated. Per i lettori che gestiscono siti aziendali, AEU Hosting è rilevante perché offre hosting WordPress gestito, protetto end to end, in linea con la necessità di mantenere gli ambienti WordPress curati e orientati alla sicurezza. Nei dati Wordfence citati qui non erano incluse affermazioni di sfruttamento, quindi l’azione immediata è verificare l’esposizione, applicare le correzioni disponibili e disabilitare o sostituire i plugin dove non è disponibile alcuna patch.