Elementor Pro sotto attacco: CVE-2026-32475 sfruttata oltre 190.000 volte

🛡️ Executive Summary

• CVE-2026-32475 permette a utenti non autenticati di caricare file PHP ed eseguire codice sui siti con Elementor Pro 4.2.1 o precedenti.
• Wordfence ha bloccato oltre 190.000 tentativi di sfruttamento iniziati il 19 agosto, giorno della disclosure pubblica e della patch.
• Gli amministratori devono aggiornare almeno alla 4.2.2 e cercare file PHP anomali nella directory wp-content/uploads/elementor/forms/.

La vulnerabilità critica CVE-2026-32475 di Elementor Pro è passata dalla disclosure tecnica allo sfruttamento reale su larga scala. Wordfence ha registrato oltre 190.000 tentativi di exploit dal 19 agosto 2026, con aggressori che utilizzano il difetto per caricare direttamente webshell PHP, eseguire comandi sul server e arrivare al takeover completo del sito WordPress. La vulnerabilità interessa Elementor Pro 4.2.1 e versioni precedenti e può essere sfruttata senza autenticazione quando una pagina pubblica contiene un Form widget con almeno un campo File Upload non obbligatorio. Elementor ha corretto il problema nella versione 4.2.2, pubblicata lo stesso giorno della disclosure.

Gli attacchi sono iniziati il giorno stesso della pubblicazione della vulnerabilità

La conferma dello sfruttamento arriva dalla telemetria pubblicata da Wordfence, che colloca i primi tentativi osservati al 19 agosto, poche ore dopo la pubblicazione dei dettagli di CVE-2026-32475. L’attività più intensa è stata registrata tra il 19 e il 23 agosto, mentre il firewall della società ha complessivamente bloccato oltre 190.000 richieste riconducibili al tentativo di sfruttamento. La falla era stata analizzata su Matrice Digitale immediatamente dopo la disclosure di Elementor Pro 4.2.2, quando non esistevano ancora evidenze pubbliche di exploitation in-the-wild.

La situazione è quindi cambiata in modo sostanziale: non si tratta più soltanto di una vulnerabilità con un vettore semplice e un potenziale impatto elevato, ma di una RCE effettivamente weaponizzata contro installazioni reali. Wordfence assegna al problema un CVSS 9,8, mentre Patchstack lo valuta 9,0 secondo la propria scheda; la differenza nella metrica non cambia la priorità operativa.

Leggi anche: WordPress sotto pressione con cinque falle critiche tra takeover e RCE

Il bug nasce da due cicli che interpretano diversamente lo stesso upload

La ricerca originale di Patchstack individua la causa nel modulo Forms di Elementor Pro. Il campo File Upload viene elaborato in due momenti distinti: un primo ciclo verifica estensione e tipo del file, mentre un secondo procede materialmente allo spostamento nella directory degli upload. Il difetto nasce perché le due routine gestiscono in modo differente una voce vuota.

Quando il primo elemento dell’array produce UPLOAD_ERR_NO_FILE, la funzione di validazione esegue un return e termina completamente i controlli; la funzione che sposta i file utilizza invece continue, ignora soltanto quell’elemento e procede con quelli successivi. L’attaccante può quindi costruire una richiesta multipart con un primo file vuoto e un secondo file PHP malevolo. Il primo provoca l’uscita anticipata dal controllo, mentre il secondo raggiunge comunque il codice che scrive il contenuto sul filesystem. È una vulnerabilità di desincronizzazione logica: nessuna delle due routine appare necessariamente pericolosa isolatamente, ma il diverso trattamento dello stesso array crea il bypass.

La webshell PHP viene salvata in una directory raggiungibile via web

Il secondo elemento malevolo viene scritto sotto wp-content/uploads/elementor/forms/, directory normalmente utilizzata per conservare i file ricevuti dai moduli. Elementor sostituisce il nome originario con un identificatore generato tramite uniqid(), ma conserva l’estensione controllata dall’attaccante. Un payload .php supera così la validazione e viene archiviato con un nome apparentemente casuale ma direttamente eseguibile dal web server. Patchstack ha inoltre mostrato che il nome generato non rappresenta una protezione sufficiente, perché uniqid() è basato sul tempo e può essere ricostruito restringendo la ricerca attraverso il timestamp della richiesta. In alcune configurazioni non è necessario nemmeno questo passaggio: se il modulo invia una risposta automatica contenente [all-fields], l’email può restituire direttamente l’URL del file caricato. Una volta individuata la webshell, l’aggressore può richiamarla via HTTP ed eseguire comandi con i privilegi associati al processo PHP. La dinamica è simile alle recenti catene WordPress che hanno trasformato form e funzioni di upload in percorsi per ottenere RCE, ma qui non è richiesto alcun account iniziale.

Basta un Form pubblico con File Upload non obbligatorio

Il prerequisito di CVE-2026-32475 restringe l’esposizione, ma riguarda una configurazione estremamente comune. Deve esistere una pagina pubblicata con un Elementor Pro Form widget contenente almeno un campo File Upload non impostato come obbligatorio. Applicazioni tipiche includono form per candidature lavorative, ticket di supporto, invio di fotografie, documentazione e ricevute. Il toggle Required è inoltre disabilitato per impostazione predefinita. Secondo Patchstack, tutti i valori necessari alla richiesta — post_id, form_id e identificatore del campo — possono essere recuperati dal codice HTML accessibile pubblicamente. Non servono cookie di sessione, account WordPress o privilegi Contributor: la richiesta utilizza elementor_pro_forms_send_form, endpoint AJAX che deve necessariamente funzionare per i visitatori anonimi affinché il modulo pubblico possa ricevere submission. Questa combinazione spiega perché la vulnerabilità sia adatta alle campagne automatizzate di scansione e mass exploitation, nelle quali gli aggressori cercano siti vulnerabili indipendentemente dalla loro importanza o dal traffico.

Wordfence osserva IP con decine di migliaia di tentativi

La telemetria di Wordfence mostra un’attività fortemente automatizzata. L’indirizzo IPv6 2602:fa59:10:7a1::1 avrebbe prodotto oltre 28.000 richieste bloccate, seguito da 185.196.220.85 con più di 23.800 e 103.84.230.85 con oltre 23.600. Altri indirizzi superano rispettivamente 15.000, 8.000 e 6.000 tentativi. Questi IOC possono aiutare nell’analisi retrospettiva dei log, ma non dovrebbero essere trattati come una mitigazione sufficiente: gli indirizzi possono essere sostituiti rapidamente e una campagna di massa può distribuire le scansioni attraverso infrastrutture differenti.

Più utile è verificare richieste POST dirette a /wp-admin/admin-ajax.php con l’azione elementor_pro_forms_send_form, soprattutto se associate a upload multipli anomali. La quantità di exploit conferma inoltre una tendenza già evidente nell’ecosistema WordPress, dove vulnerabilità appena pubblicate vengono integrate rapidamente nelle campagne automatizzate.

Continua con:

• CISA alza il rischio mentre Avada apre alla RCE su WordPress
• StopAndProtect sfrutta quasi 2.000 siti WordPress per malware e ransomware

Aggiornare non basta se la webshell è già stata caricata

Elementor Pro deve essere portato immediatamente almeno alla versione 4.2.2, che riallinea il comportamento dei due cicli e aggiunge una nuova verifica dell’estensione prima dello spostamento effettivo del file. Ma la patch impedisce soltanto nuovi exploit: non elimina una webshell depositata prima dell’aggiornamento. Wordfence invita quindi a ispezionare wp-content/uploads/elementor/forms/, dove la presenza di qualsiasi file .php costituisce un forte indicatore di compromissione perché quella directory dovrebbe contenere esclusivamente gli allegati ricevuti dai form. Gli amministratori devono inoltre controllare access log, utenti amministrativi, plugin e temi inattesi, task pianificati, modifiche ai file PHP e altre possibili forme di persistenza. CVE-2026-32475 dimostra ancora una volta quanto rapidamente una falla WordPress possa passare dalla ricerca alla weaponization: il 19 agosto sono arrivati contemporaneamente patch, disclosure e primi attacchi, lasciando praticamente inesistente la tradizionale finestra tra pubblicazione tecnica e sfruttamento operativo.