Vulnerabilità WordPress:
falla critica nel core, cosa fare adesso

La vulnerabilità WordPress scoperta a luglio 2026

Il 18 luglio 2026 è stata resa pubblica una vulnerabilità WordPress grave nel core della piattaforma — cioè nel software di base, non in un plugin o in un tema. È stata chiamata wp2shell ed è stata individuata dal ricercatore Adam Kues, del team Assetnote di Searchlight Cyber.

In gergo tecnico si tratta di una RCE pre-autenticazione. Tradotto: un attaccante può eseguire comandi propri sul server che ospita il sito senza avere alcuna credenziale d'accesso. Non serve rubare una password, non serve un plugin scritto male, non serve una configurazione strana. Basta che il sito sia raggiungibile online e che giri una versione non ancora corretta.

Il difetto nasce da una confusione nelle cosiddette rotte "batch" dell'API REST di WordPress, che apre la strada a un'iniezione SQL e da lì all'esecuzione di codice. I problemi sono tracciati con due identificativi ufficiali: CVE-2026-60137 (la parte di iniezione SQL) e CVE-2026-63030 (la catena che porta al controllo remoto).

Perché riguarda anche il sito di una piccola attività

WordPress è la piattaforma su cui gira una quota enorme del web: si parla di oltre 500 milioni di siti potenzialmente interessati. Quando una falla è così semplice da sfruttare e la base installata è così vasta, la scansione automatica di massa arriva in fretta: i bot non scelgono i bersagli, li trovano.

Con una vulnerabilità WordPress di questo tipo, l'idea che "il mio è solo il sito di un ristorante, chi vuoi che mi attacchi" non regge più. Un sito compromesso raramente viene "vandalizzato" in modo visibile. Molto più spesso viene usato in silenzio: per inviare spam, per ospitare pagine di truffa, per reindirizzare i visitatori altrove. Il danno lo scopri dopo, quando Google marca il dominio come pericoloso o quando il fornitore di hosting sospende lo spazio.

Le versioni di WordPress che risolvono il problema

WordPress.org ha pubblicato la versione 7.0.2 e ha riportato la correzione anche sui rami precedenti con le versioni 6.9.5 e 6.8.6. Il ramo 6.8 era toccato solo dalla parte di iniezione SQL, non dalla catena completa.

Data la gravità, il team di WordPress ha fatto una cosa che di norma non fa: ha forzato l'aggiornamento automatico sui siti con versioni vulnerabili, senza aspettare che gli amministratori intervenissero a mano. È una buona notizia, ma non è una garanzia: su molti siti gli aggiornamenti automatici sono stati disattivati nel tempo — a volte dall'agenzia che li ha realizzati, per paura che un aggiornamento rompesse un tema o un plugin su misura. Quei siti restano scoperti.

Come verificare se il tuo sito WordPress è vulnerabile

1. Verifica la versione installata

   Entra nella bacheca di WordPress: la versione è indicata in basso a destra nella schermata iniziale, oppure in Bacheca → Aggiornamenti. Deve essere 7.0.2, 6.9.5 o 6.8.6 (o successive).

2. Se non è aggiornato, aggiorna subito

   Prima fai una copia di sicurezza completa (file e database), poi lancia l'aggiornamento dalla bacheca. Se il sito è in produzione e ha personalizzazioni delicate, fallo fare a chi lo gestisce — ma fallo oggi, non alla prossima manutenzione programmata.

3. Se proprio non puoi aggiornare, metti una toppa temporanea

   Searchlight Cyber indica due misure di emergenza: bloccare l'accesso anonimo all'API REST, oppure bloccare a livello di firewall gli endpoint /wp-json/batch/v1 e ?rest_route=/batch/v1. Sono soluzioni provvisorie, possono disattivare funzioni legittime del sito e non sostituiscono l'aggiornamento.

4. Controlla che il sito non sia già stato toccato

   Utenti amministratori che non riconosci, file modificati di recente, redirect strani, un calo improvviso di traffico da Google, avvisi in Search Console: sono i segnali da cercare. Se ne trovi, la pulizia va fatta prima di rimettere tutto online.

5. Riattiva gli aggiornamenti automatici di sicurezza

   Sono la differenza tra essere protetti mentre dormi e scoprire il problema con tre settimane di ritardo.

Searchlight Cyber ha reso disponibile anche uno scanner gratuito su wp2shell.com per verificare se un sito è esposto. I dettagli tecnici dello sfruttamento sono stati tenuti riservati per dare tempo agli amministratori di correre ai ripari.

Aggiornamento e sicurezza WordPress: la lezione che resta

Ogni sito WordPress è fatto di tre strati che vanno tenuti aggiornati: il core, il tema, i plugin. Tutti e tre ricevono aggiornamenti, tutti e tre possono avere falle. La manutenzione non è un costo accessorio da tagliare quando il sito "funziona": è la condizione perché continui a funzionare.

Un sito lasciato fermo per due anni non è un sito stabile. È un sito che ha accumulato due anni di vulnerabilità note, pubblicate e cercate da chiunque.