Ricercatori avvertono: vulnerabilità di WordPress sfruttate dopo la divulgazione pubblica, compromissioni diffuse

Gli aggressori hanno iniziato a prendere di mira due vulnerabilità di WordPress appena corrette nel giro di poche ore dalla loro divulgazione, secondo i ricercatori di sicurezza. Se concatenate, le falle possono consentire l’esecuzione remota di codice senza autenticazione sulle installazioni vulnerabili, inclusi i siti predefiniti privi di plugin di terze parti.

WordPress ha rilasciato le correzioni venerdì in tarda serata, ma secondo quanto riferito lo sfruttamento è aumentato rapidamente subito dopo. I ricercatori hanno osservato attacchi inizialmente mirati all’estrazione di credenziali sottoposte ad hashing, seguiti da tentativi di ottenere l’esecuzione di codice quando sono diventati disponibili ulteriori dettagli tecnici e materiale proof-of-concept.

Come funzionano le vulnerabilità

CVE-2026-60137 è una vulnerabilità di SQL injection di gravità moderata. CVE-2026-63030, denominata “wp2shell” dal suo scopritore, è una falla critica che riguarda una confusione nell’elaborazione delle route batch dell’API REST. Un problema di validazione può indurre WordPress a non associare correttamente le richieste inviate, i risultati della validazione e i gestori delle richieste, consentendo di trattare come affidabili richieste che avrebbero dovuto essere rifiutate.

Singolarmente, le vulnerabilità sono più difficili da sfruttare. Utilizzate insieme, tuttavia, possono fornire un percorso da una richiesta non autenticata all’esecuzione remota di codice, creando opportunità per sottrarre credenziali, installare malware o assumere il controllo di un sito.

Attività di sfruttamento

I ricercatori di watchTowr hanno dichiarato di aver registrato decine di migliaia di tentativi contro honeypot e di aver identificato oltre 100 account amministratore backdoor creati con diverse versioni di strumenti disponibili pubblicamente. Gli aggressori hanno inoltre installato plugin dannosi per mantenere l’accesso, eseguire comandi, sottrarre segreti e recuperare ulteriori payload. In un caso osservato, un attore ha tentato di scaricare Overlord RAT, un trojan per l’accesso remoto basato su Golang.

VulnCheck ha riferito di aver individuato più di due dozzine di exploit proof-of-concept distinti, mentre anche PatchStack ha segnalato attività di sfruttamento in corso. I ricercatori hanno dichiarato che la disponibilità di codice pubblico e la riproduzione delle vulnerabilità assistita dall’IA hanno ridotto la barriera allo sviluppo degli attacchi.

Versioni interessate e risposta

WordPress 6.9 è interessato, mentre la versione 6.9.5 risolve entrambe le falle. WordPress 6.8 richiede la versione 6.8.6 per correggere il problema di SQL injection. WordPress 7.1 Beta 2 risolve i problemi presenti nella Beta 1; le versioni precedenti alla 6.8 non sono interessate.

WordPress ha abilitato gli aggiornamenti forzati per i siti interessati. Gli amministratori devono aggiornare immediatamente e verificare la presenza di account amministratore sconosciuti, plugin non autorizzati, file sospetti e altri segnali di compromissione, anche se gli aggiornamenti sono già stati installati.