CVE-2026-100109: Takeover di WordPress via Security For WooCommerce

Il CVE-2026-100109 identifica una vulnerabilità critica nel plugin WordPress 'Security For WooCommerce', versioni da 1.0.10 a 1.0.16. La falla risiede in una mancanza di controlli di capacità nel codice che gestisce la creazione di nuovi utenti. Un'azione vulnerabile è accessibile a visitatori completamente non autenticati, permettendo loro di creare un nuovo account e scegliere il ruolo di amministratore. L'impatto è catastrofico: qualsiasi persona su Internet può creare un account amministratore e assumere il controllo totale del sito WordPress.

Sebbene un punteggio CVSS non sia ancora riportato, la vulnerabilità è intrinsecamente critica per la natura dell'accesso ottenibile: creazione non autenticata di account con privilegi amministrativi. La vulnerabilità è stata resa pubblica su NVD il 5 novembre 2026, e dal 6 novembre sono stati pubblicati su repository GitHub proof-of-concept funzionanti. Il fatto che un plugin di sicurezza sia esso stesso vulnerabile a questo livello amplifica il rischio per i siti che vi si affidavano.

L'azione più urgente è disabilitare immediatamente il plugin su tutti i siti che lo utilizzano. Gli amministratori devono controllare la lista degli utenti, cercando account amministratori sospetti creati di recente. Controllare i log di accesso per attività anomale avvenute dopo il 5 novembre 2026. Se disponibile, implementare regole WAF per bloccare la richiesta vulnerabile fino a patch.