CVE-2026-121491: RCE critico nel plugin Fiber Admin

Il CVE-2026-121491 è una vulnerabilità critica del plugin Fiber Admin per WordPress. La falla consiste nella mancata validazione o escape di un header HTTP prima della scrittura in un file PHP rigenerato su un hook admin non protetto. Ciò consente a utenti non autenticati di eseguire codice arbitrario qualora la pagina di errore personalizzata del database sia attiva e riescano a vincere una race condition con un amministratore che salva le impostazioni del plugin.

Il CVSS dichiarato è 9,0, che colloca la vulnerabilità nella categoria critica. Il rischio è massimale per via dell'assenza di requisiti di autenticazione e della diffusione del plugin nelle istanze WordPress. La vulnerabilità è stata pubblicata su NVD il 2026-11-07; gli sviluppatori hanno già distribuito la versione 4.0.1 con la correzione. Le discussioni su X negli ultimi giorni riportano il CVE con punteggio e dettagli tecnici coerenti alla descrizione ufficiale.

Gli amministratori WordPress devono verificare immediatamente la presenza di Fiber Admin sui loro server. Se rilevato, aggiornare urgentemente alla versione 4.0.1 o superiore dal pannello di controllo WordPress. Come misura temporanea fino all'aggiornamento, disabilitare la funzione della pagina di errore personalizzata del database. Consigliato inoltre monitorare i log di accesso e le registrazioni degli eventi amministrativi per rilevare tentativi di sfruttamento della vulnerabilità prima che la patch sia applicata.