Vulnerabilità critica WordPress wp2shell: aggiornamento immediato consigliato
È stata individuata una vulnerabilità nel core di WordPress che può essere sfruttata da utenti non autenticati. Gli amministratori dei siti interessati devono verificare immediatamente la versione installata.
Pubblicato il
Che cos’è la vulnerabilità wp2shell
Con il nome wp2shell viene indicata una catena di vulnerabilità che interessa direttamente il core di WordPress. Le falle sono identificate come:
- CVE-2026-60137, vulnerabilità di tipo SQL injection;
- CVE-2026-63030, errore nella gestione delle richieste batch della REST API di WordPress.
La combinazione delle vulnerabilità può consentire a un attaccante non autenticato di accedere a funzionalità normalmente riservate, compromettere account amministrativi e, in determinate condizioni, installare web shell o altro codice malevolo.
La criticità è particolarmente elevata perché il problema riguarda WordPress stesso e non richiede necessariamente la presenza di un plugin o di un tema vulnerabile.
Quali versioni di WordPress sono interessate
| Versione installata | Condizione | Versione corretta |
|---|---|---|
| WordPress 7.0.0 – 7.0.1 | Vulnerabile alla catena completa | Aggiornare almeno a WordPress 7.0.2 |
| WordPress 6.9.0 – 6.9.4 | Vulnerabile alla catena completa | Aggiornare almeno a WordPress 6.9.5 |
| WordPress 6.8.0 – 6.8.5 | Interessata dalla SQL injection collegata | Aggiornare almeno a WordPress 6.8.6 |
| Versioni precedenti alla 6.8 | Non interessate da queste specifiche vulnerabilità | Verificare comunque che la versione sia ancora supportata e aggiornata |
Cosa fare immediatamente
-
Accedi al pannello di amministrazione.
La versione installata è visibile nella bacheca di WordPress oppure nella sezione Bacheca > Aggiornamenti. -
Verifica che l’aggiornamento automatico sia riuscito.
WordPress ha attivato aggiornamenti automatici di emergenza, ma permessi errati, filesystem non scrivibili o configurazioni personalizzate potrebbero impedirne l’installazione. -
Esegui un backup prima dell’aggiornamento manuale.
Salva una copia recente del database e dei file del sito. -
Aggiorna il core di WordPress.
Installa la versione corretta prevista per il ramo utilizzato: 6.8.6, 6.9.5, 7.0.2 o una versione successiva. -
Controlla il sito dopo l’aggiornamento.
Verifica il funzionamento delle pagine pubbliche, del pannello amministrativo, dei moduli e delle funzionalità principali.
Verifiche di sicurezza consigliate
Oltre all’aggiornamento, è consigliabile verificare che il sito non presenti segnali di una precedente compromissione.
In particolare, occorre controllare:
- la presenza di nuovi utenti amministratori non riconosciuti;
- plugin o temi installati senza autorizzazione;
- file PHP nuovi o modificati recentemente;
- modifiche inattese ai file del core di WordPress;
-
richieste anomale verso gli endpoint
/wp-json/batch/v1e?rest_route=/batch/v1; - operazioni anomale sul database;
- modifiche alle credenziali o alla configurazione del sito.
Se il sito mostra account sconosciuti, file sospetti, redirect anomali, modifiche non autorizzate o altri segnali di compromissione, è necessario effettuare un controllo tecnico approfondito.
In questi casi occorre verificare anche le password, le chiavi di sicurezza, gli accessi FTP, il database e le eventuali credenziali conservate sul server.
Siti gestiti da RicPic
Per i siti inclusi in un servizio di manutenzione tecnica RicPic, stiamo verificando l’effettiva applicazione degli aggiornamenti di sicurezza.
I proprietari di siti non coperti da manutenzione continuativa possono richiedere una verifica tecnica, indicando il dominio interessato e, quando disponibile, la versione di WordPress attualmente installata.
Fonti e approfondimenti
Ultimo aggiornamento: .