Negli ultimi giorni, il 18 luglio 2026, è stato pubblicato un avviso da CISA / MS‑ISAC riguardo a una nuova e pericolosa catena di vulnerabilità in WordPress Core, chiamata informalmente “wp2shell”. Questa falla consente l’esecuzione remota di codice su siti non aggiornati e risulta già sfruttata attraverso scansioni automatizzate.
Cosa è successo
È stata scoperta una coppia di vulnerabilità nel cuore di WordPress che, messe insieme, consentono a un utente anonimo di eseguire codice da remoto su siti vulnerabili senza bisogno di autenticazione o plugin. I due bug sono:
- CVE‑2026‑60137: SQL injection nel parametro
author__not_indell’API interna WP_Query. - CVE‑2026‑63030: confusione nelle rotte batch della REST API, che insieme alla precedente permette di ottenere l’esecuzione remota di codice.
WordPress ha rilasciato versioni di emergenza (6.9.5, 7.0.2 e 6.8.6) il 17 luglio 2026 e ha attivato aggiornamenti automatici forzati per le installazioni vulnerabili, ma chi li ha disattivati deve intervenire manualmente. Secondo MS‑ISAC, sono già in corso scansioni ed exploit automatizzati su larga scala.
Perché è importante
Per le PMI e i professionisti con siti web o e-commerce basati su WordPress, questa vulnerabilità rappresenta un pericolo reale. Anche una installazione “pulita”, senza plugin o temi vulnerabili, è a rischio. Se sfruttata, l’attaccante può installare software, modificare o cancellare dati, o creare nuovi utenti con privilegi elevati. La portata è elevata: tutte le versioni precedenti a quelle patchate risultano vulnerabili.
Cosa fare adesso
- Aggiorna immediatamente WordPress: passa a 6.9.5, 7.0.2 o successiva (incluse le patch per 6.8).
- Verifica che gli aggiornamenti automatici siano attivi, soprattutto su siti critici.
- Utilizza uno scanner affidabile per controllare se il tuo sito è già stato compromesso.
- Controlla la presenza di file sospetti (webshell) nel filesystem, specialmente nelle cartelle di cache.
- Revochi i permessi di scrittura se non necessari al database o al filesystem.
- Considera un audit di sicurezza o un test di penetrazione su siti business-critical.
Come ti aiuta Evo Sistemi
Da Evo Sistemi possiamo offrirti supporto concreto:
- Servizio di sicurezza informatica per monitorare, aggiornare e proteggere i tuoi siti da vulnerabilità come wp2shell.
- Realizzazione siti web aggiornati, sicuri e con configurazione adeguata per evitare falle note.
- Compliance e GDPR, per garantire che le tue soluzioni online rispettino le normative e riducano rischi legali e di sicurezza.
Se vuoi proteggere il tuo sito e la tua attività, contattaci per una valutazione gratuita.
Domande frequenti
Il mio sito è a rischio anche se non ho plugin?
Sì. La vulnerabilità interessa il nucleo di WordPress, quindi anche una installazione minima senza plugin è vulnerabile se non aggiornata.
Come verifico se sono stato attaccato?
È consigliabile usare scanner di sicurezza, cercare file sospetti (es. webshell nelle cartelle di cache) e controllare account o modifiche non autorizzate.
Gli aggiornamenti automatici bastano?
Sono utili, ma su siti critici o con aggiornamenti disattivati è sempre meglio verificare manualmente e, se serve, intervenire con un audit.
Fonte: CISA / MS‑ISAC.