Il 17 luglio 2026 è stata rilasciata WordPress 7.0.2, una versione di sicurezza che risolve una grave vulnerabilità chiamata “wp2shell”, che consente l’esecuzione di codice remoto da parte di utenti non autenticati. L’aggiornamento è stato distribuito in modo forzato via auto‑update per le installazioni vulnerabili, rendendo l’azione urgente per tutte le PMI e siti aziendali.
Cosa è successo
WordPress ha corretto due vulnerabilità principali nella versione 7.0.2: una falla di iniezione SQL (CVE‑2026‑60137) e una confusione nel routing della REST API che, combinate, permettono un attacco RCE pre‑autenticazione (CVE‑2026‑63030), noto come “wp2shell”. Queste falle riguardano le versioni dalla 6.9.0 fino alla 7.0.1, oltre alla 6.8 per la sola SQL injection. Per contrastarle, WordPress ha rilasciato anche le versioni 6.9.5, 6.8.6 e 7.1 beta2 con le stesse patch, e ha attivato aggiornamenti automatici forzati sui siti vulnerabili.
Perché è importante
La falla “wp2shell” consente a chiunque, anche senza credenziali, di eseguire codice sul server web. Le conseguenze per un’azienda possono essere gravi: modifica dei contenuti, reindirizzamenti non autorizzati, furto di dati sensibili, creazione di account amministrativi o installazione di backdoor persistenti. Questo tipo di vulnerabilità può compromettere la reputazione e la continuità operativa di un sito, mettendo a rischio clienti e dati.
Cosa fare adesso
- Accedi al pannello di amministrazione di WordPress e vai su “Aggiornamenti” per verificare di essere alla versione 7.0.2 (o 6.9.5, 6.8.6, se applicabile) e, se necessario, aggiorna manualmente.
- Controlla anche eventuali installazioni secondarie, ambienti di staging o subdirectory: l’aggiornamento automatico può non aver raggiunto tutte le istanze.
- Effettua un backup completo del sito (file e database) prima di qualsiasi modifica.
- Dopo l’aggiornamento, verifica il funzionamento di funzioni critiche come login, moduli, pagamenti o checkout in e-commerce.
- Se utilizzi un WAF (per esempio Cloudflare), conferma che siano attive le regole di mitigazione per queste vulnerabilità, utili durante l’aggiornamento.
Come ti aiuta Evo Sistemi
Noi di Evo Sistemi possiamo supportarti in più modi:
- Servizi di sicurezza informatica, per protezione proattiva, monitoraggio e configurazione WAF.
- Servizi di realizzazione siti web, con struttura aggiornata, ottimizzata e pronta a ricevere patch di sicurezza.
- Servizi di compliance e GDPR, per garantire che i tuoi processi siano conformi e sicuri anche dal punto di vista normativo.
Se vuoi che verifichiamo per te lo stato del tuo sito o ti aiutiamo con gli aggiornamenti, contattaci.
Domande frequenti
Quali versioni sono vulnerabili?
Sono interessate le versioni WordPress dalla 6.9.0 fino alla 7.0.1 (entrambe le falle) e dalla 6.8.0 alla 6.8.5 (solo la SQL injection). I fix sono presenti in 7.0.2, 6.9.5, 6.8.6 e 7.1 beta2.
Ho l’auto‑update disattivato: sono comunque a rischio?
Sì, perché WordPress ha forzato gli aggiornamenti anche sui siti con auto‑update disattivato. È quindi fondamentale verificare manualmente la versione installata.
Come posso controllare se l’update è stato applicato?
Vai in Dashboard → Aggiornamenti per vedere la versione attualmente in uso. In alternativa, se hai accesso SSH, usa il comando `wp core version`. Ricorda di controllare tutte le istanze, anche quelle meno evidenti.
Fonte: WordPress.org.