In sintesi
- L’Agenzia per la Cybersicurezza Nazionale (ACN) e la CISA statunitense confermano lo sfruttamento attivo della CVE-2026-119977 in WordPress Core: un attaccante remoto non autenticato può arrivare a eseguire codice arbitrario sul server.
- La falla, con punteggio CVSS v3.1 pari a 8.1, sfrutta percorsi di staging prevedibili usati durante gli aggiornamenti completi del core. La correzione è contenuta in WordPress 7.1.4, rilasciata il 28 ottobre.
- Secondo Wordfence, citata da BleepingComputer, in 24 ore sono stati bloccati 13.095 attacchi contro questa vulnerabilità: chi non ha ancora aggiornato deve farlo ora.
L’ACN ha diffuso oggi un’allerta su una vulnerabilità di WordPress già sanata dal vendor ma ora sfruttata attivamente in rete. Negli Stati Uniti la CISA l’ha aggiunta al proprio catalogo delle vulnerabilità sfruttate note. Per chi gestisce siti aziendali, istituzionali o professionali su WordPress la priorità è semplice: verificare la versione installata e aggiornare.
Cosa è successo
Secondo l’avviso dell’ACN, la vulnerabilità identificata come CVE-2026-119977 è di tipo Time-of-check Time-of-use (TOCTOU) Race Condition e ha un punteggio CVSS v3.1 di 8.1. Il problema nasce dall’uso di percorsi di staging prevedibili e accessibili via web durante gli aggiornamenti completi di WordPress Core. Un attaccante remoto non autenticato potrebbe accedere alla directory di staging e richiamare specifici file proprio nella finestra temporale in cui l’aggiornamento è in corso, ottenendo così l’esecuzione di codice arbitrario sul server.
Come riporta BleepingComputer, la falla è stata segnalata da Umut Bayram, ricercatore di Picus Security. La testata precisa che si tratta di attacchi ad alta complessità, proprio perché legati alla finestra dell’aggiornamento. Il team di sicurezza di WordPress ha corretto il problema il 28 ottobre con il rilascio di WordPress 7.1.4, raccomandando di aggiornare immediatamente i siti trattandosi di una release di sicurezza.
Martedì la CISA ha confermato lo sfruttamento attivo della vulnerabilità e l’ha inserita nel catalogo Known Exploited Vulnerabilities (KEV), imponendo alle agenzie federali civili statunitensi di mettere in sicurezza i propri sistemi entro venerdì, in base alla direttiva operativa vincolante BOD 26-04. Pur riguardando formalmente solo le agenzie federali, la CISA ha invitato tutti i difensori di rete, compreso il settore privato, a dare priorità a questa patch.
La CISA non ha fornito dettagli sugli attacchi in corso. BleepingComputer riporta però che Wordfence, società specializzata nella sicurezza di WordPress, in un aggiornamento del proprio advisory pubblicato nel fine settimana ha dichiarato di aver “blocked 13,095 attacks targeting this vulnerability in the past 24 hours”, cioè di aver bloccato 13.095 attacchi contro questa vulnerabilità nelle 24 ore precedenti.
Perché riguarda anche te
WordPress è il motore di moltissimi siti di PMI, studi professionali, enti locali, associazioni e portali di servizio. Una falla nel core, e non in un plugin di nicchia, significa che il perimetro potenzialmente esposto è ampio. L’esecuzione di codice arbitrario sul server è lo scenario peggiore: chi la ottiene può alterare il sito, installare componenti malevoli, raggiungere il database e usare il server come base per altri attacchi.
Il precedente recente aiuta a capire la velocità con cui si muovono gli attaccanti. Come ricorda BleepingComputer, a luglio il team di WordPress aveva corretto una catena di vulnerabilità critiche nel core, chiamata wp2shell (CVE-2026-63030 e CVE-2026-60137). Gli exploit pubblici sono comparsi il giorno dopo le patch e pochi giorni più tardi gli attaccanti violavano i server non aggiornati per installare webshell persistenti e plugin malevoli. A settembre un gruppo di lingua cinese ha usato la stessa catena per sottrarre dati da oltre 18.500 record archiviati nei database di piccole imprese e organizzazioni governative.
Per un’azienda o un ente italiano le conseguenze concrete possono essere molte: interruzione del sito, danno reputazionale, sottrazione di dati di clienti o cittadini raccolti tramite moduli e aree riservate e, se sono coinvolti dati personali, i possibili obblighi di notifica previsti dal GDPR. C’è poi un aspetto organizzativo spesso trascurato: molti siti sono gestiti da agenzie esterne o da fornitori di hosting, e non sempre è chiaro chi abbia la responsabilità di applicare gli aggiornamenti.
Cosa fare in azienda
Le azioni che seguono partono dalla raccomandazione di ACN e del vendor, cioè aggiornare tempestivamente seguendo il bollettino di sicurezza di WordPress, e si integrano con buone pratiche di settore riconosciute.
Subito
- Verificare la versione installata. Dal pannello di amministrazione, nella sezione Bacheca e poi Aggiornamenti, oppure da riga di comando con WP-CLI tramite il comando wp core version. Il riferimento indicato dal vendor è WordPress 7.1.4 o successiva.
- Fare un backup e aggiornare. Prima dell’aggiornamento conviene salvare file e database; poi aggiornare il core seguendo il bollettino ufficiale. Poiché la falla si manifesta durante l’aggiornamento, è buona pratica eseguirlo in una finestra breve e presidiata, non lasciarlo a metà.
- Chiedere conferma ai fornitori. Se il sito è gestito da un’agenzia o da un hosting gestito, va richiesta una conferma scritta della versione in produzione e della data di aggiornamento.
- Cercare segni di compromissione. Secondo le buone pratiche, vanno controllati nuovi utenti amministratori, plugin non riconosciuti, file PHP modificati di recente in cartelle insolite e attività anomale nei log del server. In caso di dubbio, isolare il sito e coinvolgere chi si occupa della risposta agli incidenti.
Entro 3 mesi
- Fare l’inventario di tutti i siti WordPress. Non solo il sito istituzionale: landing page, siti di eventi, ambienti di test dimenticati e microsite di campagne sono spesso i più trascurati.
- Attivare gli aggiornamenti automatici di sicurezza del core dove compatibile, e definire finestre di manutenzione regolari per plugin e temi.
- Mettere un filtro davanti al sito. Un web application firewall e regole di accesso a livello di rete riducono l’esposizione alle scansioni automatizzate che seguono ogni vulnerabilità pubblicata.
Da pianificare
- Un processo di patch management con tempi definiti. Le vulnerabilità inserite nel catalogo KEV della CISA o segnalate dall’ACN come sfruttate andrebbero trattate in giorni, non in settimane.
- Riduzione dei privilegi e segmentazione. Il processo web dovrebbe avere solo i permessi indispensabili e il server non dovrebbe poter raggiungere liberamente il resto della rete aziendale.
- Backup offline testati e piano di risposta. Sapere in anticipo chi fa cosa, e verificare che il ripristino funzioni davvero, accorcia i tempi di fermo in caso di incidente.
Il punto di vista Nexim
Dal punto di vista di chi gestisce reti, questa vulnerabilità ha una particolarità: la finestra di rischio si apre proprio durante l’aggiornamento completo del core, quindi conta non solo aggiornare, ma anche come e quando lo si fa. La nostra lettura è che l’aggiornamento vada eseguito subito ma in modo presidiato, con backup, tempi brevi e controllo del traffico verso il sito durante l’operazione. Il caso wp2shell, con exploit pubblici arrivati il giorno dopo le patch, mostra quanto poco margine resti tra correzione e attacco. Per questo la patch andrebbe affiancata da filtri a livello di rete e applicativo, come quelli previsti dai servizi di protezione DDoS e sicurezza di rete, che riducono la superficie esposta e assorbono le ondate di scansioni automatizzate. Sono strumenti da aggiungere a un patch management disciplinato, mai da usare al suo posto.
Fonti
- WordPress: rilevato sfruttamento in rete della CVE-2026-119977 – ACN, Agenzia per la Cybersicurezza Nazionale
- CISA flags WordPress RCE flaw as actively exploited in attacks – BleepingComputer