- Cosa può fare
- Un attaccante da internet, senza login, controlla in continuazione i percorsi temporanei usati da WordPress mentre si aggiorna e può approfittare di quei pochi istanti per far eseguire codice al sito. L'attacco è complesso da portare a termine, ma gli strumenti automatici lo ripetono su larga scala.
- Cosa mette in pericolo
- Il sito web aziendale e l'e-commerce: dati di clienti e ordini, credenziali, reputazione; un sito compromesso può essere usato per diffondere malware o truffe.
- Chi è colpito
- WordPress core: versioni precedenti alla 7.1.4. Le correzioni sono state retroportate anche ai rami più vecchi (secondo SecurityWeek fino al 4.7): verificare di avere l'ultima release del proprio ramo.
Cosa fare
- Aggiornare WordPress alla 7.1.4 (o all'ultima release del proprio ramo se si usa una versione più vecchia) da Bacheca > Aggiornamenti.
- Verificare che gli aggiornamenti automatici di sicurezza siano attivi, oppure chiedere al fornitore del sito di eseguirli.
- Controllare la presenza di utenti amministratori sconosciuti, file modificati o nuovi file PHP, e in caso di dubbio cambiare le password di amministrazione.
- Chiedere al fornitore del sito o dell'hosting di verificare nei log richieste anomale verso i percorsi temporanei di installazione (es. setup-config.php).
Aggiornamento del 7 novembre 2026: alla falla è stato assegnato il CVE-2026-119977 (CVSS 3.1: 8.1) e CISA l'ha aggiunta al catalogo KEV il 3 novembre, a conferma dello sfruttamento attivo. Nulla a che vedere con la falla del luglio 2026 (CVE-2026-63030), già trattata in questo elenco.