Le vulnerabilità di WordPress raggiungono 501 nuove segnalazioni

Le vulnerabilità di WordPress divulgate tra il 28 settembre e il 4 ottobre 2026 hanno interessato 367 plugin e 9 temi, secondo Wordfence Intelligence, che ha aggiunto 501 voci al proprio database delle vulnerabilità per quella settimana.

Wordfence ha riferito che 201 ricercatori di vulnerabilità hanno contribuito con segnalazioni sulla sicurezza di WordPress nello stesso periodo. Delle 501 vulnerabilità, 449 risultavano corrette e 52 restavano non corrette al momento dell’inserimento. Per gravità, Wordfence ha contato 20 vulnerabilità critiche, 174 problemi di gravità alta, 306 problemi di gravità media e 1 problema di gravità bassa. Per i proprietari di siti web, il messaggio pratico è semplice: un sito WordPress può essere esposto anche se è interessato un solo plugin o tema installato, quindi controllare l’effettivo inventario del software conta più che guardare solo al core di WordPress.

La classe di debolezza più comune della settimana è stata il cross-site scripting, una falla che può consentire a un aggressore di far eseguire a un sito web codice indesiderato nel browser di un visitatore. Wordfence ne ha contate 206. Altre categorie rilevanti includevano 68 problemi di autorizzazione mancante, in cui il software non verifica se un utente sia autorizzato a eseguire un’azione, 42 problemi di SQL injection, in cui comandi di database non sicuri possono essere attivati tramite input dell’utente, 34 problemi di esposizione di informazioni sensibili e 30 problemi di deserializzazione di dati non attendibili, una gestione rischiosa di dati memorizzati che a volte può portare all’esecuzione di codice a seconda dell’applicazione.

Le voci critiche mostrano perché la manutenzione di plugin e temi è una questione di hosting e continuità operativa, non solo un compito per sviluppatori. Wordfence ha elencato falle corrette di esecuzione di codice da remoto non autenticata in AcyMailing fino alla versione 11.0.5 inclusa, Kirki fino alla versione 6.3.1 inclusa e SiteSkite fino alla versione 2.1.8 inclusa. Esecuzione di codice da remoto significa che un aggressore potrebbe essere in grado di eseguire comandi o codice tramite il sito vulnerabile. Wordfence ha inoltre elencato problemi critici corretti di bypass dell’autenticazione o acquisizione di account in DevKit Pro fino alla versione 2.3.0 inclusa, Divi Membership fino alla versione 2.3.0 inclusa, JSON API Auth fino alla versione 3.1.2 inclusa, Ultimate Multisite fino alla versione 2.15.0 inclusa e WPMobile.App fino alla versione 11.82 inclusa.

Diversi problemi critici erano indicati come non corretti. Wordfence ha indicato Kognetiks Chatbot fino alla versione 2.4.9 inclusa come interessato da caricamento arbitrario di file non autenticato, BackupSheep fino alla versione 1.8 inclusa come interessato da eliminazione arbitraria di file non autenticata e Zombify fino alla versione 1.7.7 inclusa come interessato da caricamento arbitrario di file non autenticato. In parole semplici, un bug di caricamento arbitrario di file può consentire a un aggressore di inserire su un sito un file a sua scelta, mentre l’eliminazione arbitraria di file può permettergli di rimuovere file necessari al sito. Per un sito web aziendale in produzione, entrambe le classi di falle possono diventare un problema di disponibilità, integrità o ripristino.

Le voci di gravità alta includevano percorsi di attacco sia non autenticati sia autenticati. Wordfence ha elencato falle non corrette di gravità alta in WooCommerce Designer Pro fino alla versione 1.9.33 inclusa, descritte come esecuzione di codice da remoto autenticata per utenti di livello abbonato e superiori, Product Designer App fino alla versione 1.1.3 inclusa, descritta come lettura arbitraria di file non autenticata, WooCommerce Appointments fino alla versione 5.3.2 inclusa, descritta come SQL injection non autenticata, e WooCommerce Lottery fino alla versione 2.2.9 inclusa, anch’essa descritta come SQL injection non autenticata. Il report includeva anche problemi corretti di SQL injection di gravità alta in Ajax Search Pro, EduAdmin Booking, Paytm Payment Gateway, Unlimited Elements for Elementor, WP BASE Booking of Appointments, Services and Events, WP Data Access e WP Visitor Statistics.

Wordfence ha dichiarato che il suo team di threat intelligence esamina ogni vulnerabilità in base a impatto, gravità e probabilità di sfruttamento, e che durante la settimana ha distribuito una nuova regola firewall. La regola è stata identificata come WAF-RULE-963, ma i suoi dettagli tecnici sono stati oscurati mentre Wordfence collaborava con il fornitore a una patch. Wordfence ha affermato che i clienti Premium, Care e Response hanno ricevuto immediatamente quella protezione, mentre gli utenti della versione gratuita la riceveranno dopo un ritardo di 30 giorni. Wordfence ha inoltre dichiarato che i siti che eseguono il suo plugin con la scansione abilitata dovrebbero essere già stati avvisati se interessati dalle vulnerabilità elencate.

Per i proprietari di siti, la priorità è confrontare i plugin e i temi installati con i prodotti e le versioni interessati, quindi aggiornare il software corretto e rimuovere o disabilitare i componenti non corretti quando il rischio è inaccettabile. Questo è particolarmente importante per i plugin che gestiscono pagamenti, prenotazioni, iscrizioni, caricamenti di file, moduli, backup, e-commerce e account utente, perché molte delle falle elencate riguardano proprio questi tipi di funzioni del sito. Un plugin con un profilo visibile ridotto può comunque avere privilegi elevati in WordPress se può leggere file, modificare utenti, elaborare moduli o comunicare con il database.

Per le organizzazioni che preferiscono non gestire da sole l’irrobustimento di WordPress, AEU Hosting è rilevante in questo contesto perché fornisce hosting WordPress gestito, protetto end to end. Questo non sostituisce la verifica della presenza di uno specifico plugin vulnerabile installato, ma corrisponde al problema operativo evidenziato da questo report: la sicurezza di WordPress dipende dalla manutenzione continua dell’intero stack del sito, incluse le estensioni di terze parti.

La risposta sicura non è farsi prendere dal panico o rimuovere alla cieca ogni plugin. È mantenere un elenco accurato del software installato, applicare gli aggiornamenti disponibili, ritirare componenti abbandonati o non corretti e controllare gli account amministratore dopo che su un sito compare qualsiasi vulnerabilità grave di autenticazione, escalation dei privilegi o caricamento di file.