CVE-2026-10795: Authentication Bypass in UpdraftPlus Plugin

Authentication bypass nel plugin UpdraftPlus (versioni fino a 1.26.4) consente RCE come amministratore. CVSS 8,1.

CVE-2026-10795 è una vulnerabilità di authentication bypass nel plugin UpdraftPlus: WP Backup & Migration Plugin per WordPress. La funzione UpdraftPlus_Remote_Communications_V2::wp_loaded non valida correttamente il formato dei messaggi di comunicazione remota, bypassando la verifica della firma e generando chiavi di crittazione prevedibili. Un attaccante non autenticato può forgiare comandi RPC come amministratore e installare plugin maligni per l'accesso remoto completo.

CVSS 8,1, classificata HIGH da NVD. Disponibili proof-of-concept pubblici su GitHub dal 4 novembre 2026. La vulnerabilità è stata segnalata a NVD l'11 giugno 2026. Questi segnali indicano rischio concreto di sfruttamento attivo per i siti con versioni vulnerabili fino a 1.26.4.

Amministratori: verificare versione installata e aggiornare immediatamente. Controllare plugin sospetti e audit log di accesso come amministratore. Team IT: implementare monitoraggio aggiornamenti plugin e considerare policy di aggiornamento automatico per i backup plugin.

In sintesi

Cosa: Authentication bypass nel plugin UpdraftPlus per WordPress. La funzione UpdraftPlus_Remote_Communications_V2::wp_loaded non valida correttamente i messaggi di comunicazione remota, permettendo di bypassare la verifica della firma e sfruttare chiavi di crittografia prevedibili per forgiare comandi RPC arbitrari.
Gravità: CVSS 8,1 (HIGH). Consente a utenti non autenticati di eseguire comandi RPC come amministratore, incluso upload e attivazione di plugin maligni che portano a remote code execution.
Versioni interessate: Tutte le versioni fino a 1.26.4 (inclusa).
Correzione: Aggiornare il plugin UpdraftPlus a versione posteriore a 1.26.4; versione specifica non riportata nei dati.
Stato: Vulnerabilità confermata NVD (11 giugno 2026). Proof-of-concept pubblico disponibile su repository GitHub a partire da 4 novembre 2026, marcato come materiale educativo.
Azione: Amministratori: verificare versione installata, aggiornare immediatamente, controllare plugin sospetti, audit log di accesso come admin. Team IT: implementare monitoraggio aggiornamenti plugin e policy di aggiornamento automatico.

Fonti: NVD, CVE-2026-10795

← Tutti gli articoli