Elementor Pro espone WordPress a RCE senza login mentre CISA amplia il catalogo KEV

🛡️ Executive Summary

• CVE-2026-32475 permette a un attaccante non autenticato di caricare PHP su siti Elementor Pro con un Form e campo File Upload pubblicato.
• La falla colpisce Elementor Pro fino alla 4.2.1 e può portare a remote code execution; Elementor ha corretto il problema nella versione 4.2.2.
• Gli amministratori devono aggiornare subito, controllare wp-content/uploads/elementor/forms e trattare eventuali file PHP anomali come possibile compromissione.

Una vulnerabilità critica in Elementor Pro trasforma un normale modulo WordPress per l’upload di allegati in una primitiva di remote code execution senza autenticazione. La falla, identificata come CVE-2026-32475 e valutata CVSS 9.0, interessa tutte le versioni di Elementor Pro fino alla 4.2.1 e richiede una condizione estremamente comune: sul sito deve esistere almeno una pagina pubblica con un Form widget dotato di campo File Upload. Un attaccante può manipolare una richiesta multipart per saltare il controllo sull’estensione e depositare direttamente un file PHP eseguibile nella directory pubblica del sito. La correzione è disponibile con Elementor Pro 4.2.2 e rende prioritario l’aggiornamento delle installazioni esposte.

CVE-2026-32475 nasce da due cicli che trattano diversamente lo stesso upload

La vulnerabilità è stata scoperta dal ricercatore Tin Pham, noto come TF1T, e segnalata attraverso il bug bounty di Patchstack. Nel report tecnico originale dedicato a CVE-2026-32475, Patchstack individua il problema nel modulo Forms di Elementor Pro, precisamente nel codice che gestisce il campo File Upload. Il plugin valida i file in un primo ciclo e li sposta nella directory definitiva attraverso un secondo ciclo, ma i due percorsi trattano in maniera differente una voce vuota. Se il campo non è obbligatorio e il primo elemento della richiesta presenta UPLOAD_ERR_NO_FILE, il metodo di validazione esegue un return, terminando completamente il controllo. La funzione che effettua lo spostamento, invece, utilizza continue, ignora soltanto l’elemento vuoto e continua a elaborare quelli successivi. Un attaccante può quindi inviare come primo elemento un file vuoto e come secondo un payload .php: la validazione termina prima di raggiungere il malware, mentre la fase di processing continua e lo scrive sul filesystem. La differenza tra le due istruzioni produce così un bypass completo della blocklist che dovrebbe impedire il caricamento di estensioni eseguibili.

Il payload PHP finisce in una directory pubblicamente raggiungibile

Il problema diventa critico perché il secondo file non viene semplicemente conservato in un’area temporanea. Elementor Pro salva l’upload nella directory wp-content/uploads/elementor/forms/, che risulta normalmente raggiungibile dal web. Il nome originale viene sostituito con un identificatore generato attraverso la funzione PHP uniqid(), ma l’estensione del file controllata dall’attaccante viene mantenuta. Di conseguenza, un payload PHP aggirato dalla fase di validazione viene scritto come <uniqid>.php e può successivamente essere richiamato attraverso HTTP per eseguirne il contenuto sul server. La blocklist di Elementor include correttamente estensioni come php, phtml, phps, exe, bat, asp e numerosi altri formati pericolosi: il problema non è quindi una lista incompleta, ma il fatto che il controllo non venga mai eseguito sul secondo elemento della richiesta. Questo distingue CVE-2026-32475 da molte classiche vulnerabilità di arbitrary file upload e rende inutili tecniche difensive basate soltanto sull’estensione consentita nel form.

Non serve un account WordPress per sfruttare la falla

Il requisito operativo è particolarmente basso. L’attaccante non deve possedere un account WordPress, non deve essere Contributor, Author o Administrator e non deve sottrarre nonce o cookie di sessione. È sufficiente che esista una pagina pubblicamente accessibile costruita con Elementor Pro che contenga un Form widget con File Upload. Le informazioni necessarie per generare la richiesta — post_id, form_id e identificatore del campo — possono essere ricavate dal codice HTML della pagina. La submission utilizza l’azione AJAX elementor_pro_forms_send_form, che nel normale flusso deve necessariamente accettare richieste provenienti da visitatori anonimi. La configurazione è tutt’altro che rara: moduli per candidature lavorative, ticket di supporto, invio di fotografie, documenti, ricevute o allegati utilizzano comunemente questa funzione. Patchstack sottolinea inoltre che il toggle Required è disattivato per impostazione predefinita, proprio la condizione che consente all’elemento vuoto iniziale di far terminare anticipatamente la validazione. La situazione ricorda altre vulnerabilità recenti dei plugin WordPress capaci di trasformare form pubblici in percorsi di privilege escalation o code execution, ma in questo caso non è richiesta alcuna autenticazione iniziale.

Elementor Pro 4.2.2 chiude la falla dopo la disclosure di luglio

La vulnerabilità è stata comunicata a Elementor il 16 luglio 2026 e la correzione è stata resa disponibile il 19 agosto con Elementor Pro 4.2.2. Tutte le versioni fino alla 4.2.1 devono essere considerate vulnerabili. Elementor gestisce le disclosure dei plugin anche attraverso il proprio programma di sicurezza con Patchstack e raccomanda normalmente agli amministratori di mantenere aggiornati sia Elementor sia Elementor Pro, evitando di aggiornare soltanto uno dei due componenti quando le versioni richiedono dipendenze coordinate. Il ritardo temporale tra la segnalazione privata e la pubblicazione dei dettagli ha permesso al vendor di distribuire il fix prima della disclosure completa. Al momento delle informazioni disponibili non emerge tuttavia una conferma pubblica che CVE-2026-32475 sia già sfruttata attivamente in attacchi reali: la gravità deriva dalla semplicità del vettore, dall’assenza di autenticazione e dalla possibilità di ottenere RCE, non da una exploitation in-the-wild già attribuita alla falla. Questa distinzione è essenziale soprattutto mentre CISA continua ad ampliare il proprio catalogo KEV soltanto in presenza di evidenze concrete di sfruttamento.

Il catalogo CISA KEV resta il confine tra falla critica ed exploit confermato

La Known Exploited Vulnerabilities Catalog di CISA viene aggiornata quando l’agenzia dispone di evidenze sufficienti che una determinata CVE sia realmente utilizzata da attori malevoli. Un punteggio CVSS elevato o la pubblicazione di una tecnica di exploitation non bastano automaticamente per l’inserimento. L’alert del 19 agosto 2026 conferma ancora una volta questa funzione operativa del KEV: le vulnerabilità inserite devono essere prioritarie nelle attività di remediation perché la finestra teorica è già stata superata e il codice vulnerabile viene attaccato nel mondo reale. Per Elementor Pro la situazione, al momento della disclosure, rimane differente: CVE-2026-32475 è critica e facilmente sfruttabile nelle configurazioni esposte, ma le fonti disponibili non documentano ancora un inserimento nel KEV né attacchi confermati riconducibili specificamente a questa CVE. Il precedente di wp2shell, entrato nel catalogo CISA dopo l’avvio di attacchi che installavano webshell sui siti WordPress, mostra però quanto rapidamente possa cambiare la priorità quando un exploit passa dalla disclosure alla weaponization.

I siti vulnerabili devono cercare file PHP nella directory degli upload

L’aggiornamento alla 4.2.2 o a una versione successiva rappresenta il primo intervento, ma gli amministratori che hanno mantenuto online un form vulnerabile devono verificare anche eventuali segnali di compromissione. Il controllo prioritario riguarda wp-content/uploads/elementor/forms/, dove la vulnerabilità scrive i payload. In condizioni normali, una directory utilizzata per ricevere allegati da un modulo non dovrebbe contenere file PHP eseguibili. La presenza di file .php, .phtml o altri artefatti inattesi deve quindi essere trattata come un possibile indicatore di compromissione e richiede una revisione più ampia dell’installazione: utenti amministrativi sconosciuti, plugin non autorizzati, modifiche recenti ai temi, webshell, task pianificati e variazioni dei file core. Un approccio simile si rende necessario nelle campagne WordPress in cui gli attaccanti installano persistenza anche dopo la correzione della falla iniziale. Applicare la patch chiude il vettore, ma non elimina eventuale codice già depositato prima dell’aggiornamento.

WordPress continua a concentrare il rischio nei componenti esposti al pubblico

CVE-2026-32475 arriva in un periodo particolarmente intenso per la sicurezza dell’ecosistema WordPress. Il core e numerosi plugin hanno attraversato nel 2026 vulnerabilità di arbitrary file upload, privilege escalation, XSS e remote code execution, mentre le campagne criminali stanno trasformando siti compromessi in infrastrutture per phishing, malware e command and control. Il caso Elementor è significativo proprio per la normalità della configurazione vulnerabile: non serve un plugin sconosciuto o una funzione sperimentale, ma un modulo pubblico con la possibilità di allegare un file, funzionalità utilizzata quotidianamente da migliaia di siti professionali. Il rischio aumenta ulteriormente considerando la diffusione di Elementor, che dichiara di alimentare oltre 22 milioni di siti tra i propri prodotti e servizi. Non tutti utilizzano Elementor Pro né il campo vulnerabile, ma la superficie potenziale resta ampia. La correzione deve quindi essere trattata come un aggiornamento urgente: chi utilizza Elementor Pro 4.2.1 o precedente con form di upload pubblici deve passare alla 4.2.2 e verificare il filesystem prima di considerare chiuso l’incidente.