CISA segnala exploit WordPress e Langflow mentre SharePoint perde le machine key

🛡️ Executive Summary

• CISA inserisce nel catalogo KEV due falle WordPress, una vulnerabilità Langflow e un vecchio buffer overflow presente nei router DD-WRT.
• CVE-2026-50522 consente RCE pre-auth su SharePoint Server e il furto delle machine key usate per firmare token validi.
• Gli amministratori devono aggiornare WordPress e SharePoint, cercare webshell e account sospetti e ruotare tutte le chiavi potenzialmente compromesse.

CISA ha aggiunto quattro vulnerabilità sfruttate attivamente al catalogo Known Exploited Vulnerabilities, comprese le due falle del core WordPress che formano la catena wp2shell. Gli attacchi stanno già installando webshell e creando account amministrativi sui siti vulnerabili. Parallelamente, una vulnerabilità critica di Microsoft SharePoint Server, identificata come CVE-2026-50522, viene utilizzata per eseguire codice senza autenticazione e sottrarre le machine key dell’istanza. La semplice applicazione delle patch non basta in entrambi gli scenari: gli amministratori devono verificare se gli aggressori abbiano già stabilito persistenza e sostituire credenziali, chiavi e token esposti.

CISA inserisce wp2shell e Langflow nel catalogo KEV

Le quattro nuove vulnerabilità aggiunte da CISA comprendono CVE-2026-63030 e CVE-2026-60137 nel core WordPress, CVE-2026-0770 in Langflow e CVE-2021-27137 nei dispositivi DD-WRT. L’inserimento nel catalogo KEV indica che l’agenzia statunitense dispone di prove concrete dello sfruttamento reale, superando la semplice disponibilità teorica di una proof-of-concept. Le due falle WordPress devono essere considerate congiuntamente: CVE-2026-63030 introduce un conflitto nell’interpretazione delle rotte del batch endpoint REST, mentre CVE-2026-60137 riguarda una SQL injection facilitata dal parametro author__not_in di WP_Query.

• CVE-2021-27137 DD-WRT Stack-Based Buffer Overflow Vulnerability
• CVE-2026-0770 Langflow Inclusion of Functionality from Untrusted Control Sphere Vulnerability  
• CVE-2026-63030 WordPress Core Interpretation Conflict Vulnerability  
• CVE-2026-60137 WordPress Core SQL Injection Vulnerability

La catena permette a un attaccante remoto e non autenticato di manipolare le query del database e raggiungere l’esecuzione di codice. Il rischio era già emerso nelle prime patch urgenti per wp2shell e il decoder XZ di 7-Zip, ma l’ingresso nel KEV conferma che la finestra preventiva si è ormai chiusa. Le agenzie federali statunitensi devono completare la remediation entro il 4 agosto, mentre CISA raccomanda a tutte le organizzazioni di attribuire alle quattro CVE la massima priorità operativa.

Gli attacchi WordPress installano webshell nascoste nella cache

La telemetria raccolta da SANS Internet Storm Center mostra richieste dirette all’endpoint /?rest_route=/batch/v1, inizialmente usate per verificare se il sito risponde alla SQL injection. Una volta confermata la vulnerabilità, il payload utilizza una query UNION SELECT e la clausola INTO OUTFILE per scrivere codice PHP nella directory /wp-content/cache/. La webshell osservata risponde con una pagina 404 quando viene richiamata senza la chiave corretta, comportamento studiato per far apparire inesistente il file e ridurre la probabilità che venga individuato durante un controllo manuale. Quando l’attaccante fornisce il parametro segreto, lo script accetta comandi codificati o in chiaro e li esegue attraverso funzioni PHP come system, passthru, exec, shell_exec e popen. In almeno un incidente gli operatori hanno poi creato un nuovo utente amministratore nel database, ottenendo un secondo canale di accesso indipendente dalla webshell.

Le organizzazioni che eseguono versioni vulnerabili devono quindi aggiornare il core e trattare il sistema come potenzialmente compromesso, controllando file recenti nelle directory cache, account appena creati, modifiche a temi e plugin e processi PHP anomali. La dinamica conferma quanto osservato nelle campagne globali contro CMS che installano webshell persistenti.

CVE-2026-50522 espone SharePoint Server alla RCE pre-auth

Un secondo fronte riguarda CVE-2026-50522, vulnerabilità critica di deserializzazione dei dati non fidati che interessa SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition nelle installazioni on-premise non aggiornate. L’attaccante può inviare una risposta di accesso WS-Federation manipolata all’endpoint /_trust/default.aspx, includendo nel cookie di un falso SecurityContextToken un payload .NET costruito attraverso BinaryFormatter. Se il token raggiunge il percorso vulnerabile, SharePoint deserializza l’oggetto e permette l’esecuzione di codice sul server senza credenziali e senza interazione dell’utente. Microsoft ha corretto il problema negli aggiornamenti di luglio, ma il codice dimostrativo pubblico è stato seguito nel giro di poche ore da tentativi di compromissione osservati sulle reti honeypot. Il passaggio dalla patch all’exploit quasi immediato riproduce lo scenario degli N-day trasformati dall’automazione in vulnerabilità sfruttabili nel giro di poche ore. Gli amministratori non devono quindi attendere che la CVE venga associata a un gruppo specifico o a una campagna estesa: la presenza di un server SharePoint esposto e non aggiornato costituisce già una condizione di rischio critico.

Le machine key permettono accesso anche dopo la patch

Gli attaccanti osservati non si limitano a eseguire comandi sul server SharePoint, ma sottraggono le machine key utilizzate dall’applicazione ASP.NET per firmare e validare token, cookie e altri dati di autenticazione. Chi possiede queste chiavi può generare artefatti apparentemente legittimi, impersonare utenti e accedere a siti, documenti e risorse con i privilegi dell’identità falsificata. Questo significa che installare l’aggiornamento elimina il percorso iniziale di deserializzazione, ma non revoca automaticamente i token che un intruso può continuare a creare con le chiavi rubate. Il problema era già noto nelle intrusioni contro IIS basate sull’abuso delle machine key ASP.NET, dove la persistenza crittografica sopravviveva alla rimozione degli strumenti depositati sul server. Ogni istanza esposta prima dell’aggiornamento deve quindi essere sottoposta a verifica, cercando processi insoliti, file modificati, richieste a /_trust/default.aspx, accessi anomali ai documenti e variazioni nelle configurazioni. In presenza di segnali sospetti occorre ruotare machine key, certificati, password degli account di servizio e credenziali amministrative, terminando le sessioni esistenti e verificando i sistemi collegati.

Patch e verifica forense devono procedere insieme

Per WordPress, le versioni corrette comprendono 6.8.6, 6.9.5 e 7.0.2 o release successive compatibili con il ramo utilizzato. La protezione richiede anche la ricerca di file PHP non previsti in wp-content/cache, utenti amministrativi recenti, modifiche al database e richieste batch contenenti parametri SQL sospetti. Disabilitare la REST API può ridurre temporaneamente l’esposizione in alcuni ambienti, ma non sostituisce l’aggiornamento e può compromettere applicazioni, editor e plugin legittimi. Per SharePoint occorre installare gli aggiornamenti Microsoft previsti per la versione in uso, limitare l’esposizione diretta a internet e ruotare le chiavi quando il sistema è rimasto vulnerabile dopo la pubblicazione dell’exploit. La priorità attribuita dal catalogo CISA KEV alle vulnerabilità sfruttate attivamente serve proprio a distinguere i rischi teorici dalle falle già integrate nelle operazioni criminali. Aggiornare chiude la vulnerabilità, ma soltanto la verifica della persistenza consente di stabilire se l’attaccante sia stato davvero espulso.