Patch urgente: WordPress 7.0.4 risolve grave falla RCE via PostScript

È disponibile WordPress 7.0.4, una release di sicurezza che corregge un difetto grave (CVE‑2026‑65640) con punteggio CVSS 8.8: consente a utenti con ruolo Autore o superiore di eseguire codice sul server tramite upload di file PostScript camuffati da immagini, se sul server ci sono Imagick e Ghostscript. È una minaccia reale per siti con multi-autore o gestione editoriale condivisa.

Cosa è successo

• Il 12 agosto 2026 WordPress ha rilasciato la versione 7.0.4, una patch di sicurezza urgente.
• Il problema riguarda una vulnerabilità RCE (remote code execution), identificata come CVE‑2026‑65640, affetta da punteggio CVSS 8.8 (High).
• Il bug si verifica perché WordPress decide il tipo di file analizzando solo l’estensione, mentre Imagick legge il contenuto reale. Se trova codice PostScript in file nominati come immagini (.png, .pdf, ecc.), passa il controllo a Ghostscript, che esegue quel codice come se fosse un programma.
• Per sfruttare la falla, servono due condizioni: la presenza di Imagick e Ghostscript sul server e un utente con permessi di upload (Autore o superiore).
• WordPress ha risolto il problema controllando il contenuto dei file prima di passarli a Imagick e bloccando eventuali manipolazioni via nome file.
• La patch è stata estesa tramite backport fino alla versione 4.7; quindi anche siti non aggiornati alla 7.x possono essere messi in sicurezza tramite gli aggiornamenti specifici.

Perché è importante

Per una PMI o un professionista italiano non tecnico, ecco i rischi concreti:

• Un utente con ruolo Autore — spesso un collaboratore, esterno o freelancer — potrebbe sfruttare l’upload di un’immagine apparentemente innocua per eseguire codice malevole sul server.
• In ambienti con più autori, blog multi-autore, e-commerce collaborativi o siti aziendali con team di contenuti, questa vulnerabilità amplia il rischio di compromissione.
• Molti hosting condivisi abilitano per default Imagick e Ghostscript: quindi l’esposizione può essere più ampia di quanto si pensi, anche senza averli attivati manualmente.
• Anche se non ci sono segni di attacco, è fondamentale intervenire subito: l’esposizione è reale e attuabile da tempo.

Cosa fare adesso

• Aggiorna immediatamente alla versione 7.0.4 (o alla versione aggiornata del tuo branch) via Dashboard → Aggiornamenti o scaricando la release da WordPress.org.
• Se usi una versione precedente (es. 6.x o 5.x), applica immediatamente la patch backport corrispondente — la patch arriva fino alla 4.7.
• Verifica, tramite Strumenti → Stato del sito → Informazioni → Gestione Media, se sul server c’è Imagick e Ghostscript; è utile sapere se eri esposto.
• Controlla i ruoli utente: limita i permessi `upload_files` solo a persone strettamente fidate. Rimuovi account inutilizzati o dati anonimizzati.
• Assicurati che gli aggiornamenti automatici funzionino correttamente: non dare per scontato che lo siano.
• Se vuoi una sicurezza completa, valuta un audit o monitoraggio del sito dopo l’aggiornamento.

Come ti aiuta Evo Sistemi

Evo Sistemi è pronta ad assisterti con:

• Sicurezza informatica: monitoraggio, gestione patch, protezione da attacchi reali.
• Realizzazione siti web: progettazione con attenzione alla sicurezza e alla gestione dei ruoli.
• Compliance e GDPR: controllo accessi, gestione utenti, limiti di permessi secondo le normative.

Per una consulenza, una verifica oppure per affidarti a chi si occupa della sicurezza al posto tuo, visita la nostra pagina Contatti.

Domande frequenti

Chi può sfruttare questa vulnerabilità?

Un utente registrato con ruolo Autore o superiore (Editor, Amministratore) che possa caricare media.

È sufficiente aggiornare alla versione 7.0.4?

Sì: aggiorna alla 7.0.4 o alla patch equivalente del tuo branch (anche versioni da 4.7 in su sono già coperte).

Se non ho Imagick o Ghostscript, sono al sicuro?

Questa specifica falla non ti riguarda se mancano quei componenti, ma è comunque buona pratica aggiornare subito.

Fonte: SecurityWeek.