WordPress sotto pressione: cinque falle critiche aprono a takeover e RCE

🛡️ Executive Summary

• WPMU DEV Dashboard, Avada, TranslatePress e Pods espongono siti WordPress a takeover amministrativo o RCE con CVSS 9.8.
• GiveWP raggiunge CVSS 10.0: una catena PHP Object Injection può eseguire comandi sul server senza autenticazione.
• Le versioni corrette sono già disponibili e gli amministratori devono aggiornare subito, verificando utenti, file e modifiche sospette.

Cinque nuove vulnerabilità critiche colpiscono contemporaneamente alcuni dei componenti più diffusi dell’ecosistema WordPress, aprendo percorsi che vanno dal bypass dell’autenticazione fino alla Remote Code Execution. Le falle interessano WPMU DEV Dashboard, Avada, TranslatePress, Pods e GiveWP e raggiungono punteggi CVSS compresi tra 9.8 e 10.0. Il quadro conferma una pressione crescente sul CMS, già emersa con Elementor Pro e Forminator, dove input pubblici e funzioni di upload potevano trasformarsi in RCE senza login. In tutti i casi sono disponibili correzioni, ma la presenza di componenti installati su centinaia di migliaia di siti rende la velocità di patching determinante.

WPMU DEV Dashboard permette di trasformare il Single Sign-On in accesso amministrativo

La prima falla, CVE-2026-76581, interessa WPMU DEV Dashboard fino alla versione 5.0.1 ed è classificata CVSS 9.8. Secondo l’analisi tecnica di Wordfence, il problema nasce dalla costruzione incoerente degli HMAC usati nei due passaggi del flusso Hub SSO: il primo endpoint firma una concatenazione di token, stato, redirect e dominio, mentre il secondo verifica una sequenza differente. Un attaccante non autenticato può sfruttare questa ambiguità per ottenere una firma valida e riutilizzarla nel secondo passaggio, ricevendo una sessione WordPress associata all’utente configurato per il Single Sign-On. Se quell’utente è amministratore, il risultato è il takeover completo del sito. La dinamica ricorda le recenti vulnerabilità miniOrange nelle quali errori nella verifica crittografica delle risposte SAML aprivano percorsi di authentication bypass. WPMU DEV ha corretto il problema nella versione 5.0.2; chi non può aggiornare immediatamente dovrebbe disabilitare Hub SSO.

Avada trasforma una scrittura arbitraria di file in esecuzione PHP

Con CVE-2026-18431, anche il tema Avada entra nella fascia critica con CVSS 9.8. La vulnerabilità interessa Avada fino alla versione 7.16 quando è installato e attivo Fusion Builder fino alla 3.16 e permette a un aggressore non autenticato di scrivere file controllati sul server. Il problema diventa particolarmente grave quando il payload può essere salvato come file PHP in una posizione raggiungibile dal web server: l’attaccante può richiamarlo successivamente e ottenere Remote Code Execution. Wordfence descrive la falla come una catena articolata in più passaggi, individuata attraverso i propri strumenti di ricerca automatizzata. La superficie è molto simile a quella osservata con Ninja Forms ed Everest Forms Pro, dove upload e gestione impropria degli input hanno consentito l’esecuzione di PHP e la creazione di account amministrativi. Il caso Avada è particolarmente sensibile per la diffusione commerciale del tema, che ha superato il milione di vendite.

Leggi anche: WordPress, Linux, AWS e Cisco correggono nuove falle critiche tra XSS pre-auth e code execution

TranslatePress espone il link di reset password dell’amministratore

La vulnerabilità CVE-2026-19632 colpisce TranslatePress fino alla versione 3.3.1 e interessa un plugin con oltre 400.000 installazioni attive. Wordfence ha ricostruito una catena nella quale il link di reset password dell’amministratore può essere salvato nella tabella delle traduzioni e successivamente letto attraverso un’azione AJAX pubblica. L’attaccante deve trovarsi in una configurazione specifica: il salvataggio automatico delle stringhe deve essere attivo e il profilo dell’amministratore deve usare come locale una lingua secondaria pubblicata. In queste condizioni è possibile ottenere reset key e parametri di login in chiaro, cambiare la password e prendere il controllo dell’account. Il difetto presenta forti analogie con CVE-2026-8206 in Kirki, dove una logica errata nel password reset consentiva a un aggressore di dirottare il recupero delle credenziali amministrative. TranslatePress ha corretto la falla nella versione 3.3.2.

Pods consente privilege escalation fino al ruolo Administrator

CVE-2026-19598 interessa invece Pods – Custom Content Types and Fields fino alla versione 3.3.9 ed è valutata CVSS 9.8. La vulnerabilità permette a un utente non autenticato di alterare dati collegati agli account WordPress fino a ottenere il ruolo Administrator oppure sovrascrivere la password di un utente esistente, compreso il proprietario del sito. Il risultato è nuovamente un takeover completo, perché dopo l’accesso amministrativo un aggressore può installare plugin, modificare temi, aggiungere backdoor o intervenire direttamente sui contenuti. La criticità non deriva quindi da una RCE diretta nel primo passaggio, ma dalla capacità di trasformare una vulnerabilità applicativa in accesso privilegiato al CMS. È la stessa escalation operativa vista nelle campagne contro plugin WordPress vulnerabili nelle quali la creazione di un amministratore rogue rappresenta il passaggio verso persistenza e installazione di web shell. Wordfence raccomanda l’aggiornamento immediato alla prima release corretta distribuita dal vendor.

GiveWP raggiunge CVSS 10 con una catena PHP Object Injection

Il caso più grave è CVE-2026-82222, assegnata a GiveWP, plugin per donazioni utilizzato su oltre 100.000 siti WordPress. Patchstack attribuisce alla falla il massimo punteggio, CVSS 10.0, perché consente Remote Code Execution senza autenticazione nelle versioni fino alla 4.16.7.1. L’analisi tecnica di Patchstack mostra una catena composta da tre elementi: una funzione di “safe unserialize” che non elimina realmente gli oggetti PHP, un flusso di donazione capace di memorizzare input controllato dall’attaccante e una gadget chain già presente nelle librerie caricate dal plugin. Quando questi elementi vengono combinati, un oggetto serializzato malevolo può essere recuperato e deserializzato fino all’esecuzione di comandi sul server. La vulnerabilità è stata già approfondita nel caso GiveWP insieme agli exploit contro PaperCut e Cosmos EVM, dove emergeva come una normale procedura di donazione potesse diventare un percorso completo verso la compromissione del server.

GiveWP 4.16.7.2 chiude la catena ma i siti esposti devono essere controllati

La correzione è disponibile in GiveWP 4.16.7.2, versione che introduce ulteriore hardening della gestione dei dati serializzati nel donation flow. L’aggiornamento è prioritario non soltanto per rimuovere la vulnerabilità dal codice, ma anche perché un sito rimasto esposto potrebbe richiedere verifiche successive alla patch. Gli amministratori dovrebbero controllare account creati recentemente, plugin inattesi, file PHP modificati, cron job, scheduled task e modifiche anomale nel database, soprattutto quando il sito ha utilizzato versioni vulnerabili con moduli di donazione pubblicati e gateway di pagamento attivi. Il rischio di persistenza dopo una RCE è già emerso nella compromissione supply chain di BdThemes, dove l’esecuzione nel pannello amministrativo portava alla creazione di utenti nascosti e web shell persistenti. La patch elimina il vettore noto, ma non rimuove automaticamente eventuali artefatti depositati durante una precedente compromissione.

Continua con:

• GitLab, Snowflake e Forminator espongono progetti, dati e siti WordPress
• WP2Shell dimostra come due falle WordPress possano concatenarsi fino alla RCE

Cinque falle diverse mostrano lo stesso problema strutturale di WordPress

WPMU DEV Dashboard, Avada, TranslatePress, Pods e GiveWP falliscono in punti tecnicamente differenti — firma HMAC, scrittura di file, esposizione di token, gestione dei privilegi e deserializzazione PHP — ma convergono tutti sulla stessa conseguenza: un componente aggiuntivo può diventare il punto attraverso cui un aggressore prende il controllo dell’intera installazione WordPress. Il problema non riguarda quindi soltanto la sicurezza del core, ma la quantità di codice privilegiato eseguito da plugin e temi all’interno dello stesso ambiente applicativo. Lo dimostra anche la recente sequenza di vulnerabilità WordPress che ha coinvolto supply chain, plugin di moduli e componenti di autenticazione. Per gli amministratori la priorità è netta: inventariare le versioni installate, applicare immediatamente le patch e verificare gli indicatori di compromissione, senza considerare un WAF o una regola virtuale sostitutivi dell’aggiornamento definitivo.