CVE-2026-115346: RCE in Avada WordPress

RCE via file upload in Avada WordPress (fino a 7.16.2). Attacco unauthenticato, CVSS 8,1. Patch urgente.

La vulnerabilità CVE-2026-115346 riguarda il tema Avada, uno dei builder WordPress più diffusi, e consiste in un arbitrary file upload nella funzione convert_palette_images_to_truecolor(). Un attaccante non autenticato può inviare file senza validazione di tipo, inclusi script PHP, e ottenerne l'esecuzione sul server. Questo apre la strada a un attacco di esecuzione di codice remoto (RCE) completo.

Il CVSS 8,1 classifica la falla come High: attacco di rete senza autenticazione con impatto alto su riservatezza, integrità e disponibilità. La vulnerabilità è stata pubblicata su NVD il 30 ottobre 2026, appena due giorni fa. I segnali su social media sono limitati (1 post X con 3 interazioni), ma coerenti: si citano correttamente il CVE e il punteggio CVSS. Non sono noti exploit pubblici su repository al momento.

I proprietari di siti WordPress che usano il tema Avada devono controllare subito la versione installata. Se è pari o inferiore a 7.16.2, l'aggiornamento è critico e deve avvenire il prima possibile. Parallelamente, è consigliabile esaminare i log di accesso e il file system per rilevare upload anomali, esecuzioni di script sospette o creazione di file PHP non autorizzati nei percorsi di upload. Monitora i canali ufficiali Avada per la disponibilità della patch.

In sintesi

Cosa: Arbitrary file upload in tema WordPress Avada via funzione convert_palette_images_to_truecolor(), con mancata validazione del tipo di file. Attaccante non autenticato può inviare e eseguire file PHP, ottenendo esecuzione di codice remoto (RCE).
Gravità: CVSS 8,1 (High). Attacco di rete, non richiede credenziali, impatto alto su confidenzialità, integrità e disponibilità.
Versioni interessate: Tema Avada per WordPress, versioni fino a 7.16.2 (inclusa).
Correzione: Versione patch non riportata nei dati NVD forniti. Verificare i release note ufficiali di Avada per la versione sicura.
Stato: Vulnerabilità pubblicata su NVD il 2026-10-30. Nessun exploit pubblico noto su repository GitHub. Limitati segnali su social media (1 post X), coerenti con il CVE.
Azione: Verificare versione Avada su tutti i siti WordPress aziendali. Se ≤ 7.16.2, aggiornare immediatamente. Esaminare log di accesso e file system per upload anomali, script PHP non autorizzati, accessi sospetti.

Fonti: NVD, CVE-2026-115346

← Tutti gli articoli