Una delle vulnerabilità più gravi mai individuate negli ultimi anni in WordPress Core sta mettendo in allerta amministratori di sistema, sviluppatori e provider di hosting. La catena di attacco, ribattezzata wp2shell, permette infatti di ottenere l’esecuzione di codice da remoto (Remote Code Execution, RCE) senza alcuna autenticazione, aprendo la strada alla compromissione completa dei siti web vulnerabili.

A rendere la situazione particolarmente delicata non è soltanto la criticità tecnica delle falle, ma anche il fatto che sono già stati pubblicati diversi proof of concept (PoC) funzionanti su GitHub e che i ricercatori hanno iniziato a osservare i primi tentativi di sfruttamento in ambienti reali. Considerando che WordPress alimenta oltre il 40% dei siti web mondiali, il potenziale impatto è enorme.

Le vulnerabilità CVE-2026-63030 e CVE-2026-60137 sono state scoperte dai ricercatori di Searchlight Cyber ed è la combinazione delle due a consentire un attacco estremamente pericoloso contro le installazioni standard di WordPress anche prive di plugin o configurazioni particolari.

Il primo bug riguarda il sistema REST API introdotto nelle versioni più recenti della piattaforma. Più precisamente interessa la gestione delle cosiddette batch route, una funzionalità aggiunta con WordPress 6.9 che presenta un errore nella validazione delle richieste. Il secondo pericolo consiste invece in una vulnerabilità di SQL Injection presente nel parametro author__not_in utilizzato dalla classe WP_Query, componente fondamentale del motore di interrogazione del database.

Combinando queste due vulnerabilità, un aggressore può costruire una vera e propria catena di exploit capace di ottenere il controllo del server senza dover effettuare alcun login. È proprio questo aspetto ad aver spinto gli esperti di sicurezza a classificare wp2shell come una delle minacce più serie degli ultimi tempi per l’ecosistema WordPress.

Le versioni maggiormente esposte sono WordPress 6.9 dalla 6.9.0 alla 6.9.4 e WordPress 7.0 dalla 7.0.0 alla 7.0.1, dove entrambe le vulnerabilità sono contemporaneamente presenti. La SQL Injection interessa anche la serie 6.8, ma in questo caso non può essere concatenata all’attacco RCE perché il bug relativo alla REST API è stato introdotto soltanto a partire dalla versione 6.9.

vulnerabilità WordPress

Di fronte a una situazione così critica, il team di sicurezza di WordPress ha adottato una misura piuttosto rara, abilitando gli aggiornamenti automatici forzati per tutte le installazioni supportate che eseguono versioni vulnerabili. Lo scopo è ridurre il più possibile la finestra temporale durante la quale gli aggressori possono compromettere i siti prima che vengano aggiornati.

Le versioni corrette sono WordPress 6.9.5 e WordPress 7.0.2, che eliminano completamente entrambe le vulnerabilità e interrompono la catena di attacco. Inizialmente, Searchlight Cyber aveva deciso di non pubblicare i dettagli tecnici dell’exploit, concedendo agli amministratori il tempo necessario per installare le patch. Contestualmente è stato realizzato il sito wp2shell.com, che permette di verificare rapidamente se una determinata installazione risulta vulnerabile.

La situazione è però cambiata rapidamente, visto che nel giro di pochi giorni sono comparsi online diversi exploit pubblici che dimostrano concretamente come sfruttare le falle. Alcuni seguono un percorso articolato, utilizzando la SQL Injection per estrarre gli hash delle password degli amministratori, decifrarli offline e installare successivamente un plugin malevolo. Altri, invece, dichiarano di riuscire a ottenere direttamente l’esecuzione di codice senza la necessità di compromettere alcun account amministrativo, scenario che coincide con quanto descritto dai ricercatori durante l’annuncio iniziale.

Nel frattempo anche Cloudflare è intervenuta distribuendo nuove regole per il proprio Web Application Firewall (WAF). Le protezioni sono disponibili su tutti i piani del servizio, compresi quelli gratuiti, e sono progettate per intercettare sia gli attacchi che sfruttano la SQL Injection, sia quelli diretti contro la vulnerabilità della REST API. L’azienda precisa comunque che il WAF rappresenta esclusivamente una misura di mitigazione temporanea e non sostituisce in alcun modo l’installazione degli aggiornamenti ufficiali.

Per le organizzazioni che, per esigenze operative, non possono aggiornare immediatamente WordPress, Searchlight Cyber suggerisce alcune contromisure provvisorie. Tra queste figura il blocco dell’accesso anonimo alla REST API oppure il filtraggio degli endpoint /wp-json/batch/v1 e ?rest_route=/batch/v1 direttamente tramite firewall applicativo. Si tratta però di misure emergenziali che riducono la superficie di attacco senza eliminare realmente la vulnerabilità.

(Immagine in apertura: Shutterstock)