Il 22 settembre 2026 il WordPress Security Team ha rilasciato un importante aggiornamento di sicurezza per WordPress, correggendo una vulnerabilità critica identificata come CVE-2026-87902.
Il problema riguarda il Core di WordPress e, in determinate configurazioni, può consentire a un attaccante non autenticato di far includere a WordPress un file PHP presente sul server al di fuori della directory del tema.
In condizioni specifiche, questa vulnerabilità può arrivare fino all’esecuzione di codice e quindi alla compromissione completa del sito.
Non è una vulnerabilità di un singolo plugin
Uno degli aspetti più importanti è che il problema riguarda il Core di WordPress, non un particolare plugin installato.
L’attacco non richiede che l’aggressore possieda un account WordPress e può essere effettuato attraverso una richiesta web appositamente costruita.
Questo non significa che ogni sito WordPress non aggiornato sia automaticamente compromesso: per arrivare all’esecuzione di codice devono essere presenti ulteriori condizioni relative al tema utilizzato e alla configurazione del server.
Tuttavia, l’esistenza di queste condizioni non deve essere considerata una protezione sufficiente.
Quali versioni sono interessate?
WordPress ha pubblicato aggiornamenti di sicurezza per numerosi rami del software.
Per esempio:
- WordPress 7.1.0–7.1.1 → 7.1.2
- WordPress 7.0.0–7.0.5 → 7.0.6
- WordPress 6.9.0–6.9.8 → 6.9.9
- WordPress 6.8.0–6.8.9 → 6.8.10
- WordPress 6.7.0–6.7.8 → 6.7.9
- WordPress 6.6.0–6.6.8 → 6.6.9
Sono inoltre disponibili security backport per numerose versioni precedenti.
La cosa importante, quindi, non è semplicemente verificare se si dispone di una versione “recente”, ma controllare che sia installata la release corretta e aggiornata del proprio ramo di WordPress.
Perché è importante intervenire subito
Una vulnerabilità di questo tipo può essere particolarmente delicata perché l’attacco avviene prima ancora di riuscire a sfruttare eventuali vulnerabilità di plugin o di ottenere un account amministrativo.
Inoltre, un sito compromesso non presenta necessariamente segnali evidenti.
Un attaccante potrebbe, per esempio, inserire codice PHP malevolo, creare un nuovo account amministratore, modificare file del sito oppure utilizzare il server per ulteriori attività.
Per questo motivo, aggiornare WordPress è il primo passo, ma non sempre è l’unico necessario.
Hai già aggiornato WordPress?
Se gestisci personalmente il tuo sito, ti consigliamo almeno di:
- verificare la versione attualmente installata;
- eseguire l’aggiornamento alla versione corretta;
- verificare che l’aggiornamento sia stato completato correttamente;
- controllare eventuali errori dopo l’aggiornamento;
- verificare i log del server in presenza di comportamenti sospetti;
- controllare il sito se esistono indicazioni di una possibile compromissione.
Se il sito è particolarmente importante per la tua attività, è inoltre opportuno verificare anche tema, plugin, configurazione PHP e server, perché la sicurezza di WordPress non dipende esclusivamente dalla versione del Core.
E se non sai se il tuo sito è a rischio?
È una situazione molto comune.
Un sito WordPress può essere stato configurato anni fa e avere oggi decine di plugin, un tema personalizzato, vecchie impostazioni PHP o componenti che non vengono più aggiornati.
In questi casi, un semplice “clicca su Aggiorna” potrebbe non essere sufficiente.
Possiamo aiutarti a verificare e mettere in sicurezza il tuo WordPress
Se non sei sicuro della situazione del tuo sito, puoi contattarci e possiamo occuparci direttamente della verifica.
Possiamo intervenire, in base alle necessità, per:
- verificare la versione di WordPress e dei componenti installati;
- effettuare gli aggiornamenti di sicurezza;
- verificare compatibilità tra WordPress, tema e plugin;
- controllare configurazioni PHP e server;
- verificare eventuali anomalie nei file del sito;
- analizzare eventuali segnali di compromissione;
- controllare gli account amministrativi;
- verificare plugin e temi sospetti o obsoleti;
- configurare o verificare sistemi di protezione e firewall;
- effettuare un controllo generale della sicurezza del sito.
L’obiettivo non è semplicemente “aggiornare WordPress”, ma riportare il sito in una situazione più sicura e controllata, riducendo il rischio che un aggiornamento risolva una vulnerabilità mentre rimangono presenti altri problemi.
Se pensi che il sito sia già stato compromesso
In questo caso è importante non limitarsi a reinstallare WordPress o cancellare qualche file sospetto.
Una compromissione può lasciare backdoor, account amministrativi non autorizzati, codice malevolo all’interno di plugin o del tema e modifiche al database.
Se sospetti che il sito sia stato attaccato, possiamo aiutarti nella fase di analisi e ripristino, verificando cosa è successo e quali componenti devono essere controllati o sostituiti.
La sicurezza di WordPress non è un intervento una tantum
Questa vulnerabilità è un ulteriore promemoria di un aspetto fondamentale: un sito WordPress deve essere mantenuto nel tempo.
Core, plugin, temi, PHP, configurazione del server e sistemi di sicurezza devono essere periodicamente controllati.
Un sito aggiornato oggi non significa necessariamente che sarà sicuro tra sei mesi.
Per questo, oltre all’intervento urgente richiesto dalle vulnerabilità critiche, può essere utile affidare la manutenzione tecnica a chi può monitorare periodicamente il sito e intervenire quando vengono pubblicati nuovi aggiornamenti di sicurezza.
Hai un sito WordPress e vuoi sapere se è aggiornato e sicuro?
Contattaci.
Possiamo verificare la situazione del tuo WordPress, effettuare gli aggiornamenti necessari e aiutarti a individuare eventuali problemi di sicurezza o configurazione.
Meglio intervenire prima che un problema di sicurezza diventi un problema per il tuo sito, per i tuoi clienti e per la tua attività.