Allarme wp2shell: exploit attivo colpisce WordPress Core

Bitdefender ha confermato che una catena di vulnerabilità nota come “wp2shell” è attivamente sfruttata contro siti WordPress. Una PoC (Proof of Concept) pubblica è stata resa disponibile il 22 luglio 2026, rendendo gli attacchi facili anche per utenti poco esperti.

Cosa è successo

• Due falle nel core di WordPress (CVE‑2026‑63030 e CVE‑2026‑60137) permettono a un hacker non autenticato di eseguire codice da remoto, compromettendo interamente il sito.
• Una PoC funzionante pubblicata il 22 luglio 2026 ne facilita l’utilizzo: l’exploit può essere eseguito con pochi click.
• WordPress.org ha attivato l’aggiornamento automatico forzato alle versioni 6.9.5 e 7.0.2, che correggono le vulnerabilità.

Perché è importante

Se la tua azienda o il tuo e‑commerce usa WordPress nelle versioni dalla 6.9.0 alla 6.9.4 o dalla 7.0.0 alla 7.0.1, sei in pericolo:

• Lato attacco: basta poco per ottenere l’accesso amministrativo, caricare webshell o plugin malevoli, e prendere il controllo completo.
• Lato reputazione e business: un sito compromesso può portare al furto di dati, interruzione delle vendite online o alla diffusione di malware.
• Il rischio è concreto per PMI senza team tecnico dedicato: l’exploit è automatizzato e massivo.

Cosa fare adesso

• Aggiorna immediatamente WordPress alla versione 6.9.5 o 7.0.2 (o superiore).
• Se non puoi aggiornare subito, blocca l’endpoint /wp‑json/batch/v1 via firewall o WAF, anche solo temporaneamente.
• Verifica se esistono account amministratore sospetti con prefisso w2s_ o simili: anche un solo utente inatteso è campanello d’allarme.
• Controlla eventuali plugin o file PHP sconosciuti all’interno di wp‑content/plugins/ o in cartelle random, soprattutto legati a “fun‑…” o “wp2shell”.
• Analizza i log per risposte HTTP 207 or triple‑slash (“///”) nel batch endpoint, indizi di exploit in corso.
• Se sospetti una compromissione, considera l’uso di plugin come “Compromise Scanner for wp2shell” per aiutarti a individuare artefatti lasciati dall’attacco.

Come ti aiuta Evo Sistemi

Da Evo Sistemi offriamo soluzioni su misura per proteggere il tuo sito o e‑commerce:

• Servizi di sicurezza informatica per monitorare, patchare e difendere attivamente le vulnerabilità.
• Realizzazione e manutenzione di siti web aggiornati, sicuri e senza rischi derivanti da codice datato o non supportato.
• Supporto per la compliance e GDPR, utile anche in caso di attacchi, per ridurre rischi legali e sanzioni.

Per una consulenza personalizzata e un piano di protezione efficace, contattaci: clicca qui.

Domande frequenti

Il mio sito era aggiornato automaticamente: è comunque a rischio?

Se l’auto‑update ha davvero funzionato e ha portato alla versione 6.9.5 o superiore (o 7.0.2 o superiore), il sito è protetto. Ma verifica sempre manualmente la versione, perché gli auto‑update possono fallire o essere disattivati.

Ho trovato un account con prefisso w2s_, cosa significa?

È un chiaro indicatore di tentativo di compromissione: anche se l’attacco non è riuscito completamente, quel profilo è il segnale che vale la pena approfondire subito.

Non posso aggiornare subito: è sufficiente bloccare l’endpoint temporaneamente?

È una misura urgente utile, ma temporanea: serve solo a rallentare eventuali attacchi finché non puoi applicare l’aggiornamento definitivo.

Fonte: Bitdefender (advisory tecnico).