Le vulnerabilità RCE di WordPress Core hanno exploit pubblici, aggiorna ora

I ricercatori di sicurezza hanno divulgato due vulnerabilità di esecuzione remota di codice ad alta gravità in WordPress Core, denominate collettivamente "wp2shell". Il codice di exploit pubblico è già stato rilasciato, spingendo a richieste urgenti per i proprietari di siti di applicare immediatamente la patch. Le falle consentono a utenti non autenticati di eseguire codice arbitrario su installazioni WordPress vulnerabili, portando potenzialmente al pieno compromesso del sito.

Le vulnerabilità interessano tutte le versioni di WordPress Core precedenti all'ultima release di sicurezza. Qualsiasi sito WordPress che esegue una versione non patchata è a rischio, inclusi milioni di blog, siti aziendali e negozi di e-commerce in tutto il mondo. Le falle sono particolarmente pericolose perché non richiedono autenticazione, il che significa che qualsiasi utente malintenzionato può sfruttarle su Internet.

Queste sono critiche perché consentono l'esecuzione remota di codice, dando agli aggressori il controllo completo del server. Gli aggressori potrebbero rubare dati, installare malware, deturpare siti o utilizzare server compromessi per ulteriori attacchi. Dato che WordPress alimenta oltre il 40% del web, l'impatto potenziale è enorme.

Secondo la fonte, le vulnerabilità sono tracciate come CVE-2026-63030 e un altro identificatore, con un punteggio CVSS di 9.8 (critico). Le falle coinvolgono un'iniezione SQL che porta all'esecuzione remota di codice. Exploit proof-of-concept pubblici sono stati pubblicati su GitHub e altre piattaforme, aumentando l'urgenza di applicare la patch.

WordPress ha rilasciato un aggiornamento di sicurezza il [data non specificata nella fonte] per risolvere questi problemi. Tuttavia, molti siti non hanno ancora applicato la patch. Aziende di sicurezza tra cui Cloudflare, Rapid7 e Aikido Security hanno pubblicato avvisi che invitano ad agire immediatamente. Cloudflare ha notato che il suo Web Application Firewall può proteggere dallo sfruttamento.

Gli amministratori del sito sono fortemente invitati ad aggiornare WordPress Core all'ultima versione immediatamente. Coloro che non possono aggiornare dovrebbero prendere in considerazione l'uso di un firewall per applicazioni web o altre misure di sicurezza per bloccare i tentativi di exploit. Si raccomanda un monitoraggio continuo per segni di compromissione, poiché è probabile che sia in corso una scansione attiva per siti vulnerabili.