WordPress: catena critica nel core (wp2shell), CVE-2026-60137 e CVE-2026-63030

Catena di vulnerabilità critiche nel core di WordPress, sfruttabile senza autenticazione. Aggiornare subito e verificare ogni sito.

Il 17 luglio 2026 WordPress ha rilasciato le correzioni per una catena di vulnerabilità critiche nel proprio core, che permette l'esecuzione di codice da remoto senza autenticazione. La catena è composta da due difetti, CVE-2026-60137 e CVE-2026-63030: una confusione di instradamento nel batch della REST API e un'iniezione SQL nel core. Non dipende da plugin o temi.

Le versioni 6.9.x e 7.0.x sono colpite dalla catena completa; la 6.8.x solo dall'iniezione SQL. Le versioni corrette sono 6.8.6, 6.9.5 e 7.0.2. Per le versioni colpite è stato attivato l'aggiornamento automatico forzato, ma questo non basta da solo a dimostrare che un sito sia pulito.

Più aziende di sicurezza segnalano sfruttamento attivo, e CISA ha inserito entrambe le CVE nel catalogo KEV. Su siti compromessi sono stati osservati webshell e plugin malevoli.

Verificare la versione reale di ogni sito, incluse le installazioni di staging e quelle non più in uso. Dopo l'aggiornamento, controllare file, utenti amministratori e plugin installati di recente.

In sintesi

Cosa: Catena di vulnerabilità che permette l'esecuzione di codice da remoto senza autenticazione, nel core di WordPress. Non dipende da plugin o temi.
Componenti: Due difetti: una confusione di instradamento nel batch della REST API e un'iniezione SQL nel core.
Versioni interessate: 6.9.x e 7.0.x sono colpite dalla catena completa; la 6.8.x solo dall'iniezione SQL. Un'altra fonte indica 6.9–6.9.4 e 7.0–7.0.1: confrontare con la propria versione.
Correzione: Versioni corrette 6.8.6, 6.9.5 e 7.0.2, rilasciate il 17 luglio 2026. Per le versioni colpite è stato attivato l'aggiornamento automatico forzato.
Stato: Sfruttamento attivo segnalato da più aziende. CISA ha inserito entrambe le CVE nel catalogo KEV. Su siti compromessi sono stati osservati webshell e plugin malevoli.
Azione: Verificare la versione reale di ogni sito, incluse le installazioni di staging e quelle vecchie. Aggiornare non basta a dimostrare che un sito è pulito: controllare anche file e utenti.

Fonti: Wordfence, wp2shell aftermath · INCIBE-CERT, chain of critical vulnerabilities in WordPress

← Tutti gli articoli