Alert Sicurezza: I Siti WordPress Sono Sotto Attacco Attivo con la Vulnerabilità wp2shell
Se gestisci un sito WordPress, devi agire subito: i tuoi siti sono attualmente sotto attacco attivo da parte di criminali informatici che sfruttano una nuova catena di vulnerabilità chiamata wp2shell. Questa falla permette agli aggressori di controllare completamente il tuo server senza bisogno di password, senza plugin vulnerabili e senza alcuna interazione da parte dell’utente. La soluzione immediata e fondamentale è aggiornare WordPress alla versione più recente disponibile (6.8.6, 6.9.5 o 7.0.2) per chiudere questa porta di accesso pericolosa. Non aspettare che il tuo sito venga compromesso: l’azione preventiva è la tua migliore difesa contro questo tipo di attacco massivo che sta già sfruttando codice pubblico per scannerizzare milioni di installazioni.
Perché Questa Alerta È Così Critica per Tutti gli Utenti WordPress
La vulnerabilità wp2shell non è un semplice bug isolato, ma una catena di attacco complessa che combina due errori di sicurezza distinti nel cuore di WordPress. Questa combinazione permette a un utente anonimo di inviare una singola richiesta HTTP che viene trasformata in esecuzione remota di codice (RCE) sul server web. In termini pratici, significa che un attaccante può entrare nel tuo sito, leggere tutti i tuoi dati sensibili, modificare contenuti, installare software malevolo e persino prendere il controllo totale del tuo server, tutto senza mai dover inserire una password o dimostrare di essere un utente registrato.
Il motivo per cui questa situazione è particolarmente preoccupante è che non richiede plugin di terze parti. Molte vulnerabilità WordPress precedenti si basavano su plugin non aggiornati o male configurati, ma wp2shell colpisce direttamente il core di WordPress, ovvero la parte fondamentale del software che viene installata in ogni sito. Questo significa che anche un’installazione pulita, standard e senza nessun plugin aggiuntivo è completamente vulnerabile se non è aggiornata. La ricerca condotta da Searchlight Cyber ha dimostrato che l’attacco “non ha condizioni preliminari” e può essere sfruttato da chiunque in una installazione standard di WordPress.
Chi È A Rischio e Quali Versioni Sono Vulnerabili
Le versioni di WordPress attualmente esposte a questo attacco critico sono quelle comprese tra 6.9.0 e 6.9.4 e tra 7.0.0 e 7.0.1. Le versioni precedenti alla 6.9 non sono esposte alla confusione di route che costituisce la prima parte della catena di attacco. Questo dettaglio è fondamentale per capire se il tuo sito è a rischio immediato. Se utilizzi una versione di WordPress 6.8.x precedente alla 6.9.0, o se hai già aggiornato alle versioni sicure (6.8.6, 6.9.5, 7.0.2), il tuo sito è protetto contro questa specifica vulnerabilità.
L’ampiezza del rischio è enorme perché WordPress sostiene oltre 500 milioni di siti web nel mondo. La combinazione delle due vulnerabilità critiche permette l’accesso non autorizzato ai dati, la compromissione degli account amministrativi e, in determinate condizioni, l’installazione di web shell o di altro codice malevolo sul sistema. Le web shell sono strumenti che gli attaccanti utilizzano per mantenere un accesso persistente al tuo server, permettendo loro di eseguire comandi, modificare file e gestire il sito come se fossero gli proprietari legittimi.
Come Funziona Tecnicamente la Catena di Attacco wp2shell
La vulnerabilità wp2shell è composta da due bug distinti che, quando combinati, creano un percorso diretto dall’accesso anonimo all’esecuzione di codice sul server. Il primo bug, identificato come CVE-2026-63030, è una confusione di route nell’endpoint REST API batch (/wp-json/batch/v1). Questa falla logica permette al framework di validare una richiesta sotto lo schema di una route ma di eseguirla sotto il gestore di una route completamente diversa, bypassando i controlli di autenticazione normalmente richiesti.
Il secondo bug, identificato come CVE-2026-60137, è una vulnerabilità di SQL injection presente nella classe centrale WP_Query di WordPress. Questa vulnerabilità si manifesta quando una stringa non sanificata raggiunge direttamente il parametro author__not_in. Neither defect alone reaches remote code execution, ma quando sono concatenati in sequenza, forniscono a un attaccante non autenticato un percorso chiaro da una singola richiesta HTTP all’esecuzione di comandi OS arbitrari sul server web target.
La combinazione di queste due vulnerabilità permette all’attaccante di inviare un payload malevolo all’endpoint batch, burlare i controlli di autenticazione e accedere a funzioni che normalmente richiederebbero un utente registrato. Questo accesso permette poi di sfruttare la SQL injection per extraire dati sensibili dalla base di dati e, successivamente, scrivere un file malevolo sul server web, creando infine una shell remota senza credenziali.
Le Soluzioni Immediate e le Best Practices per la Sicurezza
La soluzione più efficace e immediata per proteggersi da wp2shell è aggiornare WordPress alle versioni corrette: 6.8.6, 6.9.5 o 7.0.2. Queste versioni includono le correzioni per entrambe le vulnerabilità critiche. Se il tuo sito utilizza una versione vulnerabile (6.9.0-6.9.4 o 7.0.0-7.0.1), l’aggiornamento deve essere eseguito immediatamente prima che l’attacco possa compromettere il tuo sistema.
Oltre all’aggiornamento, è consigliabile implementare alcune best practices di sicurezza: utilizzare password forti per tutti gli account, installare un plugin di sicurezza che monitora le attività anomale, configurare un firewall applicativo (WAF) che possa bloccare le richieste malevoli all’endpoint REST API, e mantenere un backup regolare del sito per poter ripristinare rapidamente in caso di compromissione. Monitorare le attività di accesso al sito e utilizzare strumenti di scansione di sicurezza possono aiutare a identificare tempestivamente eventuali tentativi di attacco.
Technical Deep Dive: Analisi Dettagliata per Tecnici e Sviluppatori
Per gli utenti tecnici e gli sviluppatori che necessitano di comprendere l’architettura dell’attacco wp2shell, è fondamentale analizzare i dettagli specifici delle due vulnerabilità coinvolte. La vulnerabilità CVE-2026-63030 (REST API Route Confusion) si basa su un errore logico nel dispatcher batch delle REST API di WordPress. L’endpoint /wp-json/batch/v1, introdotto per ottimizzare le chiamate multiple alle API, non valida correttamente le richieste in ingresso, permettendo a un attaccante di indurre la logica di smistamento delle richieste batch a raggiungere percorsi non previsti.
La route confusion permette che una richiesta valida sotto lo schema di una route venga eseguta sotto il gestore di una route diversa, bypassando i controlli di sicurezza. Questo meccanismo è critico perché trasforma una injection limitata in una RCE pre-autenticazione completa. La vulnerabilità è presente solo nelle versioni 6.9.x e 7.0.x, poiché le release precedenti alla 6.9 non sono esposte a questo tipo di confusione di route.
La seconda vulnerabilità, CVE-2026-60137, è una SQL injection nella classe WP_Query che si manifesta quando una stringa non sanificata raggiunge il parametro author__not_in. Questa vulnerabilità permette l’inserimento di query SQL arbitrarie nella base di dati, consentendo all’attaccante di extraire dati sensibili come informazioni di account, password hashate e altri dati critici.
La concatenazione di queste due vulnerabilità crea un percorso di attacco completo: l’attaccante invia prima una richiesta batch che sfrutta la route confusion per accedere a funzionalità riservate, poi utilizza questa accessibilità per sfruttare la SQL injection ed eseguire comandi OS arbitrari. Il risultato finale è l’installazione di una web shell PHP sul server, che fornisce un accesso persistente e completo al sistema senza necessità di credenziali.
Il GitHub Security Advisory GHSA-ff9f-jf42-662q circoscrive la RCE CVE-2026-63030 alle versioni 6.9.0–6.9.4 e 7.0.0–7.0.1, mentre le release precedenti alla 6.9 non sono esposte. Le vulnerabilità sono state corrette nelle versioni 6.8.6, 6.9.5 e 7.0.2, rilasciate in emergenza il 17 luglio 2026. Gli esperti di sicurezza raccomandano inoltre l’implementazione di monitoraggio attivo delle richieste all’endpoint /wp-json/batch/v1 e l’utilizzo di firewall specifici che possano identificare e bloccare i payload malevoli caratteristici di questa catena di attacco.
