In questo articolo Indice dei contenuti 3 sezioni
Una vulnerabilità nel plugin All-in-One WP Migration and Backup per WordPress ha aperto la porta a possibili attacchi di takeover su milioni di siti, con la concreta possibilità per un attaccante non autenticato di eseguire codice da remoto e prendere il controllo completo della piattaforma colpita. Il difetto, catalogato come CVE-2026-19949 e classificato ad alta gravità, riguarda tutte le versioni fino alla 7.109 comprese.
Il plugin in questione non è certo un nome di nicchia. Serve a salvare, esportare, importare e spostare interi siti da un server all’altro o da un dominio all’altro, database compresi, insieme a media, temi e altri plugin. Numeri alla mano parliamo di oltre cinque milioni di installazioni attive, il che rende la questione tutt’altro che marginale per chi gestisce un sito su WordPress.
Come funziona la falla e perché è così insidiosa
Si tratta di una SQL injection di secondo ordine, categoria che tende a essere più sfuggente di quelle classiche. Il problema nasce da una gestione errata delle barre rovesciate e delle virgolette quando il plugin riscrive i contenuti del database durante il ripristino di un archivio. In pratica il codice malevolo viene depositato prima e detonato dopo, in un momento del tutto diverso.
Il percorso di attacco parte dai trackback di WordPress. Un aggressore senza credenziali può piazzare dati costruiti ad arte attraverso questo canale, dati che restano lì in silenzio fino a quando un amministratore non esporta e reimporta il sito. Operazioni comuni, tra l’altro, visto che sono esattamente il motivo per cui il plugin viene installato.
A quel punto l’SQL iniettato entra in azione e può esporre la chiave segreta di importazione del plugin, l’ai1wmsecretkey, facendola comparire dentro un commento pubblico. Ottenuta la chiave, l’attaccante ha via libera per caricare un archivio .wpress malevolo contenente codice eseguibile. Con quel livello di privilegi, il controllo totale del sito bersaglio diventa una conseguenza quasi automatica.
Il ruolo dell’amministratore e la finestra di rischio
C’è un dettaglio che attenua parzialmente il quadro. Il payload resta dormiente finché non è l’amministratore stesso a ripristinare un archivio di backup, azione che innesca l’elaborazione dei confini delle stringhe SQL e trasforma i dati memorizzati in codice eseguito. Nessun ripristino, nessuna esecuzione.
Il punto, però, è che backup e ripristino sono letteralmente la funzione principale del plugin. Prima o poi quell’operazione viene fatta, ed è solo questione di tempo. I ricercatori di Wordfence, la divisione cybersecurity di Defiant, hanno sottolineato proprio questo aspetto: si tratta di un’azione di routine, quindi la condizione necessaria all’attacco è tutt’altro che improbabile. Anche tenere il plugin disattivato riduce il rischio ma non lo azzera. Una versione vulnerabile disattivata resta sfruttabile qualora venga riattivata anche solo temporaneamente, magari proprio per fare un backup al volo.
Aggiornamenti a rilento e milioni di siti ancora esposti
La segnalazione porta la firma del ricercatore Jack Taylor, che ha individuato il bug e lo ha comunicato a metà agosto attraverso Wordfence. Dopo la verifica, la falla è stata girata a ServMask, l’azienda che sviluppa il plugin, il 15 agosto. La risposta è arrivata in tempi rapidi: il 20 agosto è uscita la versione 7.110 con la correzione.
Il problema, come spesso accade nell’ecosistema WordPress, è cosa succede dopo la patch. Solo circa il 35% della base utenti ha installato l’aggiornamento. Tradotto in cifre concrete significa che restano circa 3,25 milioni di siti che girano ancora su una release vulnerabile di All-in-One WP Migration and Backup, con la porta socchiusa e il rischio che qualcuno abbia già lasciato un payload in attesa dentro i trackback.
