Una nuova vulnerabilità critica interessa Elementor Pro e può consentire il caricamento di file arbitrari su un sito WordPress. Ecco cosa significa, quali siti sono interessati e cosa fare per proteggersi.
Chi gestisce un sito WordPress sa quanto sia importante mantenere aggiornati plugin e temi. In questi giorni è particolarmente importante prestare attenzione a Elementor Pro, uno dei plugin più utilizzati per la realizzazione di siti web WordPress.
È stata infatti individuata una vulnerabilità critica, identificata come CVE-2026-32475, con un punteggio CVSS di 9.8 su 10.
Il problema può consentire, in determinate condizioni, a un attaccante non autenticato di caricare file arbitrari sul server. Se il file caricato può essere successivamente eseguito, le conseguenze possono essere molto serie, fino alla possibilità di compromettere completamente il sito.
Cosa riguarda la vulnerabilità
Il problema interessa Elementor Pro nelle versioni 4.2.1 e precedenti.
La vulnerabilità è legata al widget Form di Elementor Pro e, in particolare, ai moduli che prevedono un campo per il caricamento di file.
La situazione diventa quindi particolarmente rilevante per quei siti che utilizzano moduli pubblici attraverso i quali gli utenti possono allegare documenti, immagini o altri file.
La presenza di un campo per il caricamento non significa automaticamente che il sito sia stato compromesso, ma rappresenta una delle condizioni previste dallo scenario di vulnerabilità.
Perché il caricamento di un file può essere pericoloso?
Un campo “Carica file” può sembrare una funzionalità assolutamente normale.
Ad esempio, un sito potrebbe permettere a un utente di:
- allegare un documento a una richiesta di informazioni;
- inviare un curriculum;
- caricare un’immagine;
- allegare documentazione;
- inviare un file attraverso un modulo di contatto.
Il server, però, deve verificare attentamente che tipo di file viene caricato.
Un sistema di sicurezza correttamente configurato dovrebbe impedire, ad esempio, il caricamento di file contenenti codice eseguibile quando questi non sono necessari.
La vulnerabilità scoperta in Elementor Pro può permettere di aggirare alcuni di questi controlli in determinate condizioni.
Questo significa che un attaccante potrebbe riuscire a caricare sul server un file che non dovrebbe essere accettato.
Se successivamente quel file può essere eseguito dal server web, il problema può trasformarsi in una vera e propria esecuzione di codice da remoto (RCE).
È questo il motivo per cui la vulnerabilità viene classificata come critica.
Non è necessario essere amministratori
Uno degli aspetti più importanti della vulnerabilità è che l’attacco può essere effettuato senza essere autenticati al sito.
In altre parole, non è necessariamente necessario conoscere le credenziali di un amministratore WordPress.
L’attaccante può tentare di sfruttare il problema attraverso un modulo Elementor Pro esposto pubblicamente, quando sono presenti le condizioni necessarie.
Questo rende particolarmente importante intervenire rapidamente sui siti che utilizzano versioni vulnerabili del plugin.
Quali versioni sono interessate?
La situazione è semplice:
| Versione Elementor Pro | Stato |
|---|---|
| 4.2.1 e precedenti | 🔴 Vulnerabili |
| 4.2.2 e successive | 🟢 Corrette |
La versione corretta è stata rilasciata il 19 agosto 2026.
Se il tuo sito utilizza Elementor Pro 4.2.1 o una versione precedente, l’aggiornamento deve essere considerato prioritario.
Cosa bisogna fare?
La prima cosa da fare è controllare la versione di Elementor Pro installata sul proprio sito.
Dal pannello di amministrazione di WordPress è possibile verificare la versione nella sezione:
Plugin → Plugin installati → Elementor Pro
Se la versione installata è precedente alla 4.2.2, è consigliabile procedere con l’aggiornamento.
Prima di effettuare l’aggiornamento, soprattutto nel caso di siti aziendali, e-commerce o portali che utilizzano numerose personalizzazioni, è sempre opportuno avere un backup recente del sito e del database.
E se il sito dopo l’aggiornamento non funziona correttamente?
Gli aggiornamenti di sicurezza sono fondamentali, ma su siti WordPress complessi può capitare che un aggiornamento provochi incompatibilità con altri plugin, temi o personalizzazioni.
Per questo, dopo un aggiornamento importante, è sempre consigliabile verificare almeno:
- homepage e pagine principali;
- moduli di contatto;
- eventuali moduli con caricamento file;
- menu e navigazione;
- funzionalità e-commerce;
- area riservata;
- eventuali integrazioni con servizi esterni.
Se il sito presenta errori, pagine che non vengono visualizzate correttamente, moduli che non funzionano più o comportamenti anomali, non è consigliabile procedere con modifiche casuali o disattivare plugin senza prima individuare la causa del problema.
E se non so quale versione ho installato?
Nessun problema.
Se non sei sicuro della versione di Elementor Pro installata, se non sai se il tuo sito utilizza effettivamente il widget Form interessato dalla vulnerabilità oppure se semplicemente hai dubbi sulla sicurezza del tuo sito WordPress, è preferibile effettuare una verifica prima di intervenire.
Un controllo può essere particolarmente utile sui siti che:
- utilizzano Elementor Pro da molto tempo;
- non vengono aggiornati regolarmente;
- hanno numerosi plugin installati;
- utilizzano moduli con caricamento di file;
- hanno subito personalizzazioni;
- presentano già errori o comportamenti anomali.
Hai dubbi sul tuo sito WordPress?
La vulnerabilità è stata corretta, ma questo non significa che tutti i siti siano automaticamente al sicuro: è necessario verificare la versione installata e, soprattutto, assicurarsi che il sito continui a funzionare correttamente dopo l’aggiornamento.
Se hai dubbi sulla versione di Elementor Pro installata, non sai se il tuo sito è interessato dalla vulnerabilità oppure hai riscontrato problemi dopo un aggiornamento, contattaci.
Possiamo verificare la situazione del tuo sito, individuare eventuali problemi e aiutarti a ripristinare il corretto funzionamento delle funzionalità interessate.
Meglio un controllo oggi che scoprire domani che il problema era già presente.