Un bug SQL injection nel popolare plugin All-in-One WP Migration and Backup minaccia oltre 3 milioni di siti WordPress: basta un commento malevolo per consentire a un attaccante di prendere il controllo totale del sito, anche senza autenticazione.
Un singolo commento pubblico può bastare per spalancare le porte di milioni di siti WordPress: la vulnerabilità CVE-2026-19949 nel plugin All-in-One WP Migration and Backup consente a chiunque, senza autenticazione, di eseguire codice remoto e prendere il controllo completo del sito. Il rischio non è teorico: oltre 3,25 milioni di installazioni restano esposte, nonostante la patch sia disponibile da mesi.
Il plugin, con più di cinque milioni di installazioni attive secondo WordPress.org, è uno strumento chiave per backup, esportazione e migrazione di siti, database e media. Ma proprio la routine di backup e restore, cuore del plugin, si trasforma in trappola: l'exploit resta silente fino a quando l'amministratore non ripristina un archivio, momento in cui il payload viene eseguito sfruttando una gestione errata di backslash e virgolette nei dati SQL.
Come funziona l'attacco: il dettaglio tecnico
La falla, scoperta dal ricercatore Jack Taylor e analizzata da Wordfence, è una SQL injection di secondo ordine: l'attaccante inserisce dati manipolati tramite trackback o commenti, che vengono archiviati nel database. Quando l'admin esporta o importa il sito, il plugin processa questi dati e li esegue come istruzioni SQL. Il risultato? L'attaccante può estrarre la chiave segreta ai1wm_secret_key e importare un archivio '.wpress' malevolo, contenente codice eseguibile.
Wordfence sottolinea che il rischio non si limita alle versioni attive: anche un plugin disattivato ma vulnerabile può essere sfruttato se riattivato temporaneamente. La vulnerabilità è stata segnalata a ServMask, sviluppatore del plugin, il 15 agosto e corretta nella versione 7.110 rilasciata il 20 agosto. Eppure, solo il 35% degli utenti ha aggiornato: la maggioranza resta indifesa.
Impatto reale e responsabilità degli amministratori
Il vero pericolo è la normalità dell'azione che scatena l'attacco: il ripristino di un backup, operazione di routine per chi gestisce siti WordPress. L'exploit non richiede accesso privilegiato, né conoscenze avanzate: basta un commento ben costruito e la pazienza di attendere che l'admin esegua un restore. Un meccanismo simile di attivazione "differita" è stato già osservato in altri attacchi alla supply chain, come riportato recentemente su QWERTYmag.
La portata del problema è aggravata dalla lentezza con cui vengono applicati gli aggiornamenti di sicurezza: milioni di siti, spesso gestiti da utenti poco esperti o da agenzie che trascurano la manutenzione, restano vulnerabili a un attacco che può compromettere dati, SEO e reputazione. La responsabilità ricade ora sugli amministratori: ignorare la patch equivale a lasciare la porta di casa spalancata in un quartiere già preso di mira dai ladri.
La lezione: sicurezza non è mai "set and forget"
La vicenda All-in-One WP Migration and Backup dimostra che la sicurezza dei plugin WordPress non può essere affidata solo agli sviluppatori. Anche il plugin più diffuso e apparentemente affidabile può trasformarsi in un vettore di attacco devastante se la community non aggiorna tempestivamente. In un ecosistema dove la superficie d'attacco cresce con ogni nuova funzione, la negligenza nell'aggiornamento è il vero alleato dei cybercriminali. Chi gestisce siti WordPress deve abbandonare la logica del "set and forget": la manutenzione costante è l'unica difesa reale contro minacce che, come questa, colpiscono quando meno te lo aspetti.
