Negli ultimi giorni WordPress ha rilasciato un importante aggiornamento di sicurezza per correggere delle vulnerabilità che interessano alcune versioni della piattaforma.
La notizia ha attirato particolare attenzione perché, se sfruttate, queste vulnerabilità potrebbero consentire a un attaccante di compromettere un sito senza conoscere le credenziali di accesso.
Ma cosa significa concretamente? E perché questo aggiornamento è considerato così importante?
Perché questa vulnerabilità è diversa dalle altre?
Quando si parla di sicurezza WordPress, nella maggior parte dei casi le vulnerabilità riguardano plugin o temi installati sul sito. In questi casi è sufficiente aggiornare il componente interessato.
Questa volta, invece, il problema interessa direttamente il core di WordPress, cioè il software che costituisce il funzionamento della piattaforma e che gestisce tutte le sue funzionalità principali.
Le due vulnerabilità corrette riguardano aspetti diversi del sistema.
La prima interessa il modo in cui WordPress comunica con il database, cioè l’archivio in cui vengono memorizzati pagine, articoli, utenti, impostazioni e tutte le informazioni del sito. In pratica, un attaccante potrebbe riuscire a far interpretare alcuni dati inviati al sistema come se fossero istruzioni vere e proprie, inducendo il database a eseguire operazioni che non dovrebbe.
La seconda vulnerabilità coinvolge invece la REST API, l’interfaccia che permette a WordPress di comunicare con applicazioni e servizi esterni. Si può immaginare come una porta di accesso controllata attraverso cui transitano richieste legittime. In questo caso, un errore nel modo in cui WordPress gestisce queste richieste potrebbe consentire a un utente non autorizzato di oltrepassare quel controllo e raggiungere funzioni che dovrebbero rimanere protette.
Considerate singolarmente, queste vulnerabilità rappresentano già un rischio. È però la loro combinazione a renderle particolarmente critica: sfruttandole insieme, un attaccante potrebbe arrivare a eseguire codice direttamente sul server e, nei casi più gravi, assumere il controllo del sito.
Cosa potrebbe accadere se il sito non viene aggiornato?
Se una vulnerabilità di questo tipo viene sfruttata con successo, un malintenzionato potrebbe accedere a dati riservati, modificare file e contenuti, installare codice dannoso e compromettere il corretto funzionamento del sito.
Nei casi più gravi potrebbe inoltre installare una web shell, cioè un piccolo programma nascosto che crea una sorta di accesso permanente al server, permettendo all’attaccante di rientrare anche in un secondo momento senza dover sfruttare nuovamente la vulnerabilità.
È importante chiarire un aspetto: la presenza di una vulnerabilità non significa che un sito sia già stato violato. Indica però l’esistenza di un punto debole che potrebbe essere sfruttato se non corretto tempestivamente.
Quali versioni sono interessate?
WordPress ha già corretto queste vulnerabilità rilasciando nuove versioni della piattaforma.
In particolare:
| Versione installata | Aggiornare a |
|---|---|
| 6.9.0 – 6.9.4 | 6.9.5 |
| 7.0.0 – 7.0.1 | 7.0.2 |
| 6.8.x | 6.8.6 |
Le vulnerabilità sono identificate come CVE-2026-60137 e CVE-2026-63030.
Aggiornare il sito è sufficiente?
Installare l’ultima versione disponibile è il primo passo, ed è quello più importante.
Tuttavia, quando emergono vulnerabilità di questo livello, è buona pratica verificare anche che il sito non presenti comportamenti anomali, come nuovi utenti amministratori, modifiche inattese ai file o componenti installati senza autorizzazione.
L’aggiornamento elimina la vulnerabilità, ma non può annullare eventuali attività malevole già avvenute prima della sua installazione. Per questo motivo, soprattutto per i siti più esposti o strategici, è consigliabile affiancare all’aggiornamento anche alcune verifiche di sicurezza.
La sicurezza non dipende da un singolo aggiornamento
Questa vicenda ricorda un principio valido per qualsiasi sito web: la sicurezza non è un intervento occasionale, ma un processo continuo.
Aggiornamenti tempestivi, monitoraggio, backup, controlli periodici e una corretta gestione dell’infrastruttura permettono di ridurre il rischio e di intervenire più rapidamente quando vengono individuate nuove vulnerabilità. La prevenzione, infatti, rappresenta oggi uno degli strumenti più efficaci per proteggere siti e infrastrutture digitali.
