ACN segnala vulnerabilità ‘alta’ in WordPress che consente esecuzione codice remoto

Contesto

ACN/CSIRT Italia ha segnalato, tramite l'alert AL02/260814/CSIRT-ITA, la presenza di una vulnerabilità di tipo Remote Code Execution (RCE) all'interno del sistema di gestione dei contenuti WordPress. La vulnerabilità è classificata con gravità “alta” e un impatto sistemico “Alto (65.12)”. Qualora sfruttata, questa debolezza potrebbe permettere a un utente malintenzionato remoto, che sia autenticato, di eseguire codice arbitrario sui sistemi che ne sono affetti. Il CVE associato è CVE-2026-65640. Sono interessate numerose versioni di WordPress, spaziando dalle 7.0.x (dalla 7.0.0 alla 7.0.3) fino alla 4.7.x (dalla 4.7.0 alla 4.7.34). È importante notare che i prodotti elencati risultano vulnerabili solo in specifiche circostanze, come indicato nei relativi bollettini di sicurezza del vendor. L'alert è stato pubblicato il 14 agosto 2026.

Perché conta

La mancata risoluzione della vulnerabilità “alta” in WordPress espone i siti web aziendali al rischio di esecuzione di codice arbitrario da parte di attaccanti. Questo può portare alla compromissione completa del sito, al furto di dati sensibili o all'interruzione dei servizi, con gravi danni reputazionali e finanziari per l'organizzazione. Se la tua azienda utilizza WordPress per il proprio sito, e-commerce o portale, è fondamentale verificare tempestivamente le versioni in uso e agire. Hai già un piano per gli aggiornamenti di sicurezza del tuo CMS?

Cosa fare

• Aggiornare immediatamente i prodotti WordPress vulnerabili seguendo le indicazioni contenute nel bollettino di sicurezza del vendor.
• Consultare il bollettino di sicurezza del vendor per identificare le specifiche circostanze in cui le versioni elencate risultano vulnerabili.
• Verificare l'inventario delle versioni di WordPress utilizzate nella propria organizzazione per accertarsi che nessuna rientri tra quelle affette.

Cosa evitare

• Ignorare l'avviso di sicurezza di ACN/CSIRT Italia riguardante le vulnerabilità in WordPress.
• Ritardare l'applicazione delle patch di sicurezza, lasciando i sistemi esposti a potenziali attacchi.

Implicazioni pratiche

Per le organizzazioni che gestiscono siti web, blog o piattaforme di e-commerce basate su WordPress, questa vulnerabilità di Remote Code Execution rappresenta un rischio elevato. La compromissione di un sito web tramite l'esecuzione di codice arbitrario può portare non solo a un'interruzione del servizio, ma anche al furto di dati utente o aziendali, alla distribuzione di malware ai visitatori o a danni significativi all'immagine e alla reputazione dell'azienda. È cruciale che le organizzazioni abbiano processi robusti per la gestione della sicurezza dei propri CMS e siano proattive nella mitigazione delle minacce.

Azioni da fare

• Mappare tutte le istanze di WordPress in uso e le relative versioni.
• Stabilire un programma regolare per l'applicazione degli aggiornamenti di sicurezza dei CMS.
• Formare il personale responsabile della gestione dei siti web sulle best practice di sicurezza e sull'importanza degli aggiornamenti.
• Implementare soluzioni di monitoraggio per rilevare attività sospette o tentativi di sfruttamento di vulnerabilità.

Errori da evitare

• Mantenere versioni non patchate o non supportate di WordPress.
• Non avere una chiara responsabilità per la sicurezza e l'aggiornamento dei siti web aziendali.
• Sottovalutare la gravità delle vulnerabilità che consentono l'esecuzione di codice arbitrario.

Domande di self-assessment

• Abbiamo un inventario aggiornato di tutti i nostri siti WordPress e delle versioni installate?
• Qual è il nostro processo per essere informati tempestivamente sulle nuove vulnerabilità di WordPress e come applichiamo le patch?
• Il nostro personale è consapevole dei rischi legati alle vulnerabilità dei CMS e delle azioni da intraprendere?
• Abbiamo backup regolari e testati dei nostri siti WordPress e un piano di ripristino in caso di compromissione?