Due gravi falle di sicurezza scoperte nel cuore di WordPress hanno acceso l’allarme tra gli amministratori di siti web. Si chiamano wp2shell e permettono, se combinate, di eseguire codice da remoto senza bisogno di alcuna autenticazione. Un problema serio, che il team di WordPress.org ha già affrontato rilasciando le patch necessarie e, cosa piuttosto rara, forzando l’installazione degli aggiornamenti per contenere i danni.
Come funziona un attacco wp2shell e quali versioni sono a rischio
A individuare le vulnerabilità sono stati i ricercatori di Searchlight Cyber. Il meccanismo alla base di wp2shell sfrutta due debolezze distinte che, messe insieme, aprono una porta pericolosa. Da un lato c’è la CVE-2026-63030, un errore nella gestione delle richieste batch della REST API. Dall’altro la CVE-2026-60137, una classica SQL injection. Unendo le due falle, un malintenzionato può arrivare a funzioni normalmente riservate agli utenti autenticati, senza però dover fornire alcuna credenziale.
Le conseguenze possono essere pesanti. Si parla di esecuzione di codice remoto, accesso ai dati, compromissione dell’account amministratore e installazione di web shell o malware. Le versioni interessate dalla catena completa vanno dalla 6.9.0 alla 6.9.4 e dalla 7.0.0 alla 7.0.1. Anche la 7.1.0 beta risulta vulnerabile. Discorso leggermente diverso per le versioni dalla 6.8.0 alla 6.8.5, che restano esposte solo alla CVE-2026-60137 e quindi non all’intero attacco.
Un dettaglio che merita attenzione. Di solito i guai di sicurezza su WordPress arrivano dai plugin di terze parti, e qui casca l’asino di parecchi siti. Stavolta invece il problema tocca il codice core della piattaforma, quindi qualcosa di ben più delicato e diffuso.
Patch disponibili ed exploit già in circolazione
Gli esperti di Searchlight Cyber hanno messo online un sito che consente di verificare se la propria installazione è vulnerabile. Nel frattempo sono state proposte alcune soluzioni temporanee, utili a tamponare la situazione mentre si procede con l’aggiornamento vero e proprio. WordPress.org ha corretto tutto nelle versioni 6.8.6, 6.9.5, 7.0.2 e nella 7.1.0 beta 2.
Vista la gravità della faccenda, le installazioni interessate sono state aggiornate d’ufficio, senza attendere l’intervento manuale dei proprietari. Una scelta drastica ma comprensibile, considerando cosa c’è in gioco.
Il problema è che, come spesso accade in questi casi, gli exploit funzionanti circolano già. Il codice è finito su GitHub ed è alla portata di chiunque abbia intenzioni poco pulite. Con quel materiale è possibile ottenere diritti di amministratore, caricare plugin infetti e sottrarre dati sensibili. Per chi gestisce un sito basato su WordPress il consiglio è uno solo e nemmeno tanto opinabile, ovvero installare le versioni aggiornate nel minor tempo possibile, senza rimandare.
