CVE-2026-115230: Takeover Admin nel Plugin WHIZZ

Il CVE-2026-115230 riguarda una vulnerabilità critica nel plugin WordPress WHIZZ versione 1.1.8 e precedenti. La falla risiede nel meccanismo di reset della password: il plugin non valida correttamente la chiave di reset, affidandosi unicamente a un nonce che è esposto a visitatori non autenticati. Questo difetto consente a un attaccante di impostare una password arbitraria per qualunque account utente, inclusi gli amministratori, ottenendo il controllo totale del sito WordPress.

La vulnerabilità ha un punteggio CVSS 9,8, classificata come Critical. È stata pubblicata in NVD il 2026-11-06 e rappresenta un zero-day appena divulgato. I segnali da fonti pubbliche (post su X negli ultimi giorni) confermano che la vulnerabilità sta ricevendo attenzione nella comunità di sicurezza, anche se con una circolazione inizialmente limitata. L'accesso senza autenticazione e l'impatto massimo (account takeover amministrativo) rendono questo una priorità assoluta per i difensori.

Sysadmin e team IT devono aggiornare immediatamente il plugin WHIZZ oltre la versione 1.1.8 non appena una patch sia disponibile. Se nessun aggiornamento è ancora disponibile nel repository ufficiale, la disattivazione temporanea del plugin è la mitigazione più sicura. In parallelo, verificate gli accessi ai vostri account amministratore nei log, cercate attività anomale, reset di password non autorizzati o modifiche a utenti privilegiati nei giorni recenti. Se il vostro sito utilizza WHIZZ, ritenete questa una compromissione potenziale fino a prova contraria.