Wp2shell: Vulnerabilità critiche nel core di WordPress

Importante:

Il 17 luglio 2026 il team di sicurezza di WordPress ha rilasciato in via d'emergenza la versione 7.0.2 del CMS, insieme alle patch per i rami precedenti (6.9.5 e 6.8.6). L'aggiornamento chiude una catena di due vulnerabilità distinte che, se sfruttate insieme, permettono un attacco battezzato dalla community di sicurezza "wp2shell".

Le due falle sono:

• CVE-2026-60137: una vulnerabilità di SQL injection nel componente centrale WP_Query, causata da una stringa non filtrata nel parametro author__not_in. Punteggio di gravità CVSS 9.0 su 10.
• CVE-2026-63030: un bug di "confusione di route" nell'endpoint batch della REST API (/wp-json/batch/v1), che permette a WordPress di validare una richiesta secondo uno schema ma di eseguirla con un gestore diverso, aggirando così i normali controlli di autenticazione.

Prese singolarmente, nessuna delle due porta all'esecuzione di codice. Combinate, però, aprono un percorso diretto che va dall'accesso anonimo alla piena esecuzione di codice sul server (RCE, Remote Code Execution) — senza che l'attaccante debba autenticarsi in alcun modo.

Sono interessate le installazioni WordPress comprese tra le versioni:

• 6.9.0 – 6.9.4
• 7.0.0 – 7.0.1
• 6.8.x (limitatamente alla sola componente di SQL injection)

Le versioni corrette, in cui le falle sono state chiuse, sono 6.8.6, 6.9.5 e 7.0.2. Data la gravità, WordPress ha attivato per queste versioni gli aggiornamenti automatici forzati lato server, ma questo non basta a considerarsi al sicuro in automatico: un aggiornamento in background può fallire, e in ogni caso la patch chiude solo la porta d'ingresso, senza rimuovere eventuali tracce di un attacco già avvenuto prima dell'installazione.

Perché è più pericolosa di una normale vulnerabilità

Tre fattori rendono wp2shell particolarmente critica:

1. Nessuna autenticazione richiesta. L'attacco funziona anche contro un sito con un solo amministratore e password robuste: non serve rubare credenziali.
2. Riguarda il core, non i plugin. Non dipende da temi o plugin di terze parti installati: colpisce l'installazione base di WordPress, quindi qualsiasi sito nel range di versioni vulnerabili è esposto.
3. È automatizzabile. Un attacco di questo tipo può essere eseguito su larga scala da bot che scansionano il web alla ricerca di siti non aggiornati, rendendolo appetibile anche per campagne di massa e non solo per attacchi mirati.

Le conseguenze concrete di una compromissione possono includere: creazione di account amministratore fasulli, upload di file PHP malevoli (backdoor persistenti), modifica o furto di contenuti e dati sensibili, reindirizzamenti non autorizzati verso siti di phishing o malware, e danni reputazionali difficili da quantificare per un'azienda che lavora online.

Come verificare subito la versione di WordPress del tuo sito

Prima di tutto, è importante capire se il tuo sito rientra nel range di versioni vulnerabili. Ecco come controllarlo in pochi passaggi:

1. Dal pannello di amministrazione: accedi alla tua dashboard WordPress e vai su Bacheca → Aggiornamenti (o Dashboard → Updates). In alto viene indicata la versione attualmente installata.
2. Dalla sezione "Info sul sito": in alternativa, vai su Bacheca → Home oppure su Strumenti → Salute del sito → Informazioni, dove è riportata la versione core di WordPress.
3. Senza accedere al pannello: puoi anche verificare da fonte esterna, visitando l'indirizzo iltuosito.it/feed/ (il numero di versione compare talvolta nel codice del feed) oppure chiedendo a chi gestisce tecnicamente l'hosting del tuo sito di comunicartela.

Se la versione rilevata rientra tra 6.8.0–6.8.5, 6.9.0–6.9.4 oppure 7.0.0–7.0.1, il tuo sito è esposto alla vulnerabilità wp2shell e va messo in sicurezza al più presto.

Va sottolineato che il solo aggiornamento del core, se eseguito senza le dovute verifiche collaterali (backup, compatibilità di plugin e tema, controllo di eventuali accessi anomali già avvenuti), può non essere sufficiente a garantire la piena sicurezza del sito: per questo genere di interventi consigliamo sempre di affidarsi a un supporto tecnico specializzato, soprattutto per siti aziendali o e-commerce.

adpHosting ha già messo in sicurezza tutti i siti dei propri clienti sotto Contratto di Assistenza Gestione CMS Managed

Per tutti i clienti che si affidano a adpHosting per la gestione e manutenzione dei propri siti WordPress, l'aggiornamento a WordPress 7.0.2 (o alla release corretta corrispondente) è già stato completato, insieme ai controlli di verifica su utenti amministratori, plugin attivi e integrità dei file. Non è richiesta alcuna azione da parte vostra: il vostro sito è già protetto da questa vulnerabilità.

Se invece il tuo sito WordPress non è gestito da adpHosting e vuoi avere la certezza che sia al sicuro da wp2shell, o semplicemente vuoi affidare la manutenzione del tuo sito a chi monitora questo genere di emergenze in tempo reale puoi contattarci prima possibile.

Sarà ns. cura verificare gratuitamente la versione installata e, se necessario, procedere subito con la messa in sicurezza.

 Il supporto tecnico
Servizi adpHosting