Un fulmine a ciel sereno scuote il mondo del web design e della sicurezza informatica. \u00c8 stata appena identificata una vulnerabilit\u00e0 critica nel core di WordPress<\/b> che mette a repentaglio la sicurezza di oltre 500 milioni di siti web<\/b> in tutto il mondo. Battezzata dagli esperti con il nome di “wp2shell”<\/b>, questa falla permette ad attaccanti non autenticati di assumere il controllo totale del sito (completo takeover<\/i><\/a>) senza bisogno di alcuna credenziale.<\/p>\n Dato l’altissimo livello di pericolo, il team di WordPress.org ha gi\u00e0 avviato il rilascio di patch d’emergenza forzando gli aggiornamenti automatici<\/b>.<\/p>\n Ecco tutto quello che c’\u00e8 da sapere e come mettere al sicuro il tuo sito aziendale o e-commerce.<\/p>\n La vulnerabilit\u00e0 \u00e8 stata individuata dal ricercatore Adam Kues del team Assetnote (Searchlight Cyber). A differenza della maggior parte dei problemi di sicurezza che colpiscono WordPress \u2013 spesso legati a plugin o temi obsoleti di terze parti \u2013 wp2shell risiede direttamente nel core del CMS<\/b>.<\/p>\n L’attacco sfrutta un difetto di confusione nelle rotte batch delle API REST<\/b> native di WordPress. Questo bug genera una catena di exploit che parte da un’iniezione SQL<\/a> (SQLi) e culmina in una Remote Code Execution<\/a> (RCE) pre-auth<\/b>.<\/p>\n In parole semplici:<\/p>\n Zero requisiti:<\/b> L’attaccante non ha bisogno di un account, di exploit secondari o di configurazioni particolari.<\/p>\n<\/li>\n Interazione zero:<\/b> Basta che il sito WordPress sia online e raggiungibile per essere vulnerabile.<\/p>\n<\/li>\n Target standard:<\/b> Anche un’installazione pulita e appena avviata di WordPress, priva di plugin, \u00e8 esposta al rischio.<\/p>\n<\/li>\n<\/ul>\n Le falle sono tracciate ufficialmente sotto due identificatori: CVE-2026-60137<\/b> <\/a>(relativo all’iniezione SQL) e CVE-2026-63030<\/b><\/a> (la catena RCE vera e propria).<\/p>\n I dettagli tecnici specifici sull’exploit non sono ancora stati resi pubblici per evitare un’ondata massiva di attacchi automatizzati (attacchi zero-day<\/i> su larga scala). Tuttavia, sappiamo con certezza quali sono i rami del software coinvolti:<\/p>\n<\/h2>\n
Cos’\u00e8 la Falla “wp2shell” e Perch\u00e9 \u00e8 cos\u00ec Pericolosa?<\/h2>\n
\n
<\/h2>\n
Le Versioni Impattate e i Rilasci di Sicurezza<\/h2>\n