CVE-2026-61991: RCE senza autenticazione in AjaxLoadMore Cache

CVE-2026-61991 è una vulnerabilità critica di Remote Code Execution senza autenticazione nel plugin WordPress AjaxLoadMore Cache fino alla versione 3.1.1. Un attaccante remoto può eseguire codice arbitrario sui server hosting siti WordPress che utilizzano il plugin, senza necessità di credenziali di accesso. Il CVSS raggiunge 10,0, il massimo della scala, rendendo questa una minaccia immediata per qualsiasi installazione vulnerabile non aggiornata.

Il CVE è stato pubblicato il 29 ottobre 2026 e il giorno seguente ha già attirato l'attenzione pubblica con 4 segnali su X nelle ultime 24 ore. La gravità è confermata come critical nella fonte ufficiale. Secondo i dati disponibili, non risulta ancora disponibile una patch ufficiale, lasciando gli amministratori esposti fino al rilascio dell'aggiornamento di sicurezza da parte del team di sviluppo.

I team di sysadmin e IT devono agire immediatamente: verificare se il plugin AjaxLoadMore Cache è installato su qualsiasi sito WordPress gestito, controllare la versione (vulnerabili fino alla 3.1.1), e pianificare l'aggiornamento non appena disponibile. Nel frattempo, disabilitare o disinstallare il plugin se non essenziale rappresenta la mitigazione più efficace. Monitora i canali ufficiali di WordPress e gli announcement del plugin per la disponibilità della patch.