Cinque vulnerabilità critiche in plugin e temi WordPress: rischio takeover

Recenti analisi di Wordfence e Patchstack hanno portato alla luce cinque vulnerabilità critiche che colpiscono plugin e temi WordPress tra i più utilizzati: WPMU DEV Dashboard, Avada, TranslatePress, Pods e GiveWP. Queste falle, tutte con punteggi CVSS molto elevati, consentono a malintenzionati di aggirare i meccanismi di autenticazione, prendere il controllo degli account amministrativi o eseguire codice arbitrario sul server.

Dettaglio delle vulnerabilità individuate

Le vulnerabilità segnalate sono le seguenti:

• CVE-2026-76581 (CVSS 9.8): un bug di bypass dell'autenticazione nel plugin WPMU DEV Dashboard consente a un attaccante non autenticato di ottenere accesso amministrativo e prendere il controllo del sito, se è attivo l'Hub Single-Sign On (SSO) e mappato su un amministratore. Sono colpite tutte le versioni fino alla 5.0.1 inclusa.
• CVE-2026-18431 (CVSS 9.8): una vulnerabilità di scrittura arbitraria di file nel tema Avada, in combinazione con Fusion Builder fino alla versione 3.16, permette a un attaccante di caricare file PHP malevoli ed eseguire codice remoto, compromettendo completamente il sito.
• CVE-2026-19632 (CVSS 9.8): il plugin TranslatePress - Translate Multilingual sites with AI Translation espone informazioni sensibili, tra cui l'URL di reset password dell'amministratore, consentendo il takeover dell'account. Il problema riguarda le versioni fino alla 3.3.1, solo se è attivo il salvataggio automatico delle stringhe e il profilo dell'amministratore è impostato su una lingua secondaria pubblicata.
• CVE-2026-19598 (CVSS 9.8): una falla di escalation dei privilegi nel plugin Pods - Custom Content Types and Fields permette a un attaccante non autenticato di ottenere privilegi amministrativi o sovrascrivere la password di qualsiasi utente, incluso il proprietario del sito. Sono vulnerabili tutte le versioni fino alla 3.3.9 inclusa.
• CVE-2026-82222 (CVSS 10.0): la vulnerabilità più grave riguarda GiveWP e consente l'esecuzione di comandi arbitrari sul server, a patto che sia presente almeno un modulo di donazione pubblicato e un gateway di pagamento attivo. Sono colpite tutte le versioni fino alla 4.16.7.1.

Implicazioni per la sicurezza dei siti WordPress

Secondo Patchstack, la falla in GiveWP sfrutta una catena di vulnerabilità che coinvolge un helper di "safe unserialize" non sicuro, un flusso di donazione che accetta dati controllati dall'attaccante e una gadget chain nel codice fornito dal plugin. Questo scenario dimostra come la serializzazione PHP possa portare a esecuzione di codice remoto quando si combinano più debolezze: la possibilità di memorizzare oggetti serializzati controllati, la successiva deserializzazione senza adeguati controlli e la presenza di gadget chain nelle librerie di sviluppo incluse in produzione.

Le cause principali di queste vulnerabilità sono spesso legate a una fiducia eccessiva nei meccanismi di sanitizzazione della serializzazione, alla deserializzazione di dati provenienti dal database senza verifiche e all'uso di librerie pensate solo per ambienti di sviluppo in contesti di produzione.

Precedenti e rischi di attacchi attivi

Queste vulnerabilità si inseriscono in un contesto di crescente attenzione verso la sicurezza delle piattaforme open source. Episodi recenti, come la rapida esploitazione della falla CVE-2026-19478 in GitLab, dimostrano come i cybercriminali siano pronti a sfruttare nuove falle subito dopo la loro divulgazione pubblica.

Raccomandazioni per amministratori e sviluppatori

Si raccomanda agli amministratori di siti WordPress di aggiornare immediatamente i plugin e i temi coinvolti alle versioni più recenti, di monitorare i log di accesso e di adottare pratiche di sicurezza avanzate come l'autenticazione a più fattori. Gli sviluppatori dovrebbero inoltre evitare di includere librerie di sviluppo in ambienti di produzione e rafforzare i controlli sulla serializzazione e deserializzazione dei dati.