Una vulnerabilità di sicurezza critica in WordPress potrebbe consentire ad attaccanti di prendere il controllo di siti web senza effettuare l'accesso, secondo quanto riportato da Hokanews. La falla interessa le versioni dalla 4.7 alla 7.1.3 e mira a una breve finestra temporale durante il processo di aggiornamento della piattaforma, quando il suo installer diventa temporaneamente accessibile tramite una cartella pubblica.

WordPress alimenta il 39,5% di tutti i siti web online, secondo le informazioni condivise da Coin Bureau, il che significa che circa quattro siti su dieci si basano sullo stesso software sottostante. Questa scala conferisce alla debolezza segnalata una portata potenzialmente ampia, poiché riguarda il processo di aggiornamento della piattaforma stessa e non un singolo plugin o tema. La preoccupazione si concentra sulla possibilità che gli attaccanti possano eseguire il proprio codice direttamente sul server di un sito web durante un aggiornamento completo — un risultato che può tradursi nel controllo non autorizzato del sito stesso.

Come funziona la vulnerabilità

Durante un aggiornamento completo di WordPress, la piattaforma colloca temporaneamente il proprio installer in una cartella pubblicamente accessibile. Secondo Coin Bureau, un attaccante che raggiunge quella posizione durante la breve finestra temporale può eseguire il proprio codice sul server. Poiché l'esposizione esiste solo mentre l'aggiornamento è in corso, il rischio è legato a quel periodo di staging temporaneo e non a un punto di ingresso costantemente aperto.

La falla non richiede che l'attaccante effettui l'accesso al sito WordPress interessato. L'attacco sfrutta invece l'esposizione temporanea creata durante il processo di aggiornamento, potenzialmente consentendo il controllo non autorizzato del sito web.

La vulnerabilità interessa tutte le versioni di WordPress dalla 4.7 alla 7.1.3. Questo intervallo copre quasi 10 anni di release, risalendo fino a dicembre 2016, secondo le informazioni riportate da Coin Bureau. Un intervallo così ampio include installazioni di età molto diverse tra quelle segnalate come interessate, e non solo le versioni più recenti.

Wordfence segnala la vulnerabilità CVE-2026-119977

La società di sicurezza Wordfence ha segnalato il problema, che è ora tracciato con l'identificatore CVE-2026-119977. La designazione CVE è il sistema di identificazione standard utilizzato per catalogare le vulnerabilità software divulg pubblicamente, offrendo a ricercatori e proprietari di siti un punto di riferimento comune per la stessa falla. La vulnerabilità ha inoltre generato attività di protezione firewall, con Wordfence che ha registrato il primo blocco appena nove minuti dopo l'attivazione della protezione.

I tempi riportati indicano che il firewall ha iniziato a bloccare l'attività associata alla vulnerabilità poco dopo l'attivazione della sua protezione. Tuttavia, il report non specifica il numero di tentativi di attacco né quanti siti web potrebbero essere stati coinvolti. Queste due cifre restano le principali questioni ancora aperte riguardo alla falla, poiché mostrerebbe quanta attività abbia effettivamente attratto in pratica.

Con le versioni dalla 4.7 alla 7.1.3 incluse nell'intervallo segnalato come interessato, la vulnerabilità riguarda un ampio spettro di release di WordPress. L'esposizione temporanea dell'installer durante gli aggiornamenti completi è la specifica debolezza descritta nel report.

Il report originale è stato scritto da Victoria Hale, scrittrice di tecnologia e blockchain di Hokanews.