CVE-2026-86596: RCE in s2Member WordPress Plugin

Il CVE-2026-86596 riguarda il plugin s2Member per WordPress, uno dei sistemi di gestione degli accessi più diffusi. La vulnerabilità di Remote Code Execution si trova nella funzione strip_php_tags_deep(), che sanifica insufficientemente il parametro 'item_name'. L'errore risiede nel fatto che la funzione rimuove solo i literal '<?' ma non impedisce che un cleanup post-interpolazione di placeholder di email template ricomponga il valido '<?php', permettendo a chi fornisce il valore di iniettare codice PHP che viene poi eseguito dal server.

La gravità è dichiarata critical con CVSS 9,8. Il CVE è stato pubblicato su NVD il 2 novembre 2026, lo stesso giorno in cui è apparso un proof-of-concept pubblico su GitHub (descritto come laboratoriale con verifica IPN). La descrizione ufficiale specifica che sono vulnerabili tutti gli utenti autenticati con accesso a livello custom e superiore, indicando che la falla richiede credenziali interne. La combinazione di RCE ed esecuzione a livello server rende questa una minaccia critica per qualsiasi installazione non aggiornata di questo plugin ampiamente diffuso.

I team IT e gli amministratori di sistema devono procedere con urgenza: verificare immediatamente quali installazioni di s2Member sono presenti in produzione, consultare il changelog ufficiale per identificare se una patch è già disponibile, e controllare i log di accesso e delle email template per segni di exploit. Nel frattempo è consigliabile limitare l'accesso al plugin ai soli amministratori fiduciari e monitorare attentamente le modifiche ai file template. In assenza di patch, valutare l'isolamento del plugin o la disattivazione temporanea sino a disponibilità della correzione ufficiale.