CVE-2026-114432: RCE in Contact Form 7 via File Upload

Il CVE-2026-114432 riguarda il plugin Contact Form 7 per WordPress, uno degli strumenti più diffusi per gestire moduli di contatto. La vulnerabilità consiste nell'assenza di validazione del tipo e dell'estensione dei file caricati attraverso i campi file dei moduli. Inoltre, un difetto nel meccanismo di pulizia dei file temporanei lascia i file caricati sul disco del server. Questo consente a utenti non autenticati di caricare file arbitrari nel sito.

L'impatto varia a seconda della configurazione del server. Su installazioni standard di Debian e Ubuntu con Apache, che elencano i contenuti delle directory e mappano l'estensione .phar al gestore PHP, il file caricato può essere individuato ed eseguito, portando a Remote Code Execution (RCE) completa. Su altre configurazioni, come nginx o Apache con override .htaccess abilitati, il rischio è limitato a file scritti nella directory uploads, sebbene possano comunque essere serviti come contenuti attivi (HTML, SVG) dal dominio dell'applicazione.

In difesa: 1) Aggiorna immediatamente Contact Form 7 alla versione 6.2.4 o successiva. 2) Verifica la configurazione del server (elenco directory, mapping MIME, permessi su /uploads). 3) Monitora i file caricati di recente nella cartella uploads per attività sospette. 4) Se non puoi aggiornare subito, disabilita i moduli con campi file finché non sei pronto. La patch è disponibile da subito: non rimandare.