Negli ultimi giorni è emersa una grave vulnerabilità nei siti WordPress, soprannominata “WP2Shell”, che interessa milioni di installazioni. Se il tuo sito utilizza versioni 6.9.0–6.9.4 o 7.0.0–7.0.1, rischi che un attaccante prenda il controllo senza bisogno di credenziali. È importante agire subito.
Cosa è successo
Il 17 luglio 2026 WordPress ha pubblicato aggiornamenti urgenti per risolvere due vulnerabilità core (chiamate collettivamente WP2Shell): una confusion nella gestione delle richieste API batch e una SQL injection. Se concatenate, queste falle permettono a un malintenzionato di eseguire codice da remoto senza autenticazione su installazioni standard.
A poche ore dalla pubblicazione delle patch (nelle versioni 6.9.5 e 7.0.2), sono apparsi script di attacco e exploit pubblici, e diverse aziende di sicurezza (come Patchstack, Hexastrike e WatchTowr) hanno verificato exploit attivi in rete.
Un’analisi approssimativa indica che circa il 15% delle installazioni vulnerabili (ovvero circa 90 milioni di siti) potrebbero essere ancora esposte, nonostante gli aggiornamenti forzati implementati da WordPress.
Perché è importante
- Rischio concreto di compromissione anche senza password o plugin installati: basta una versione vulnerabile per essere attaccati.
- Il codice di attacco è pubblico da giorni e strumenti automatici lo stanno utilizzando — tempo di reazione molto ridotto.
- Una volta breccato, l’attaccante può creare account admin, caricare virus, sottrarre dati, modificare pagine, danneggiare reputazione e interrompere il business.
Cosa fare adesso
- Verifica la versione del tuo WordPress (nel pannello o con WP‑CLI): se è tra 6.9.0–6.9.4 o 7.0.0–7.0.1, sei a rischio.
- Aggiorna immediatamente alla versione 6.9.5 o 7.0.2 (o più recente).
- Non dare per scontato l’auto‑update: anche se WordPress ha attivato aggiornamenti automatici forzati, controlla comunque manualmente.
- Proteggi temporaneamente il tuo sito: se non puoi aggiornare subito, imposta un WAF o regole nel server per bloccare le richieste verso gli endpoint `/wp-json/batch/v1` e `?rest_route=/batch/v1`.
- Controlla accessi sospetti: verifica se sono stati creati utenti nuovi o modifiche anomale nei file, controlla i log delle richieste a `/wp-json/batch/v1`.
- Effettua backup e ripristini solo da copie sicure se noti alterazioni.
Come ti aiuta Evo Sistemi
Evo Sistemi può assisterti rapidamente in questa emergenza con servizi mirati:
- Sicurezza informatica: protezione attiva, monitoraggio e hardening del tuo sito WordPress.
- Realizzazione siti web: architetture aggiornate e build sicure che riducono i rischi.
- Compliance e GDPR: verifica integrità dei dati, controllo accessi e conformità normativa.
Contattaci per una consulenza urgente: proteggeremo il tuo sito e il tuo business. Parliamone.
Domande frequenti
Il sito è stato aggiornato automaticamente: sono al sicuro?
Non sempre. Anche se WordPress ha attivato l’auto‑update forzato, problemi di configurazione o errori di sistema possono bloccarlo. Meglio verificare manualmente.
Se aggiornassi dopo essere stato attaccato, risolvo comunque tutto?
Aggiornare impedisce nuovi attacchi, ma non elimina eventuali compromissioni avvenute. Controlla account, file, log e ripristina eventuali backup puliti.
Servono plugin o temi per essere vulnerabili?
No: la vulnerabilità WP2Shell è nel core di WordPress. Anche un’installazione standard, senza plugin o temi esterni, è a rischio.
Fonte: TechCrunch.