Una falla di sicurezza di WordPress viene attivamente sfruttata dagli aggressori durante il processo di aggiornamento dei siti web. La società di cybersecurity Wordfence ha bloccato oltre 240.000 tentativi di exploit al 6 novembre, e le autorità di regolamentazione statunitensi hanno fissato una scadenza per le agenzie federali. La vulnerabilità, tracciata come CVE-2026-119977, non si basa su password deboli o plugin obsoleti. Si trova invece nel modo in cui WordPress gestisce alcuni aggiornamenti software completi.

Durante questi aggiornamenti, WordPress estrae brevemente i file di installazione in una cartella raggiungibile pubblicamente. La finestra dura solo pochi secondi, ma quel breve momento è esattamente ciò che gli aggressori cercano di intercettare.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Come funziona l'attacco

Un aggressore che riesce ad accedere a quei file nel momento giusto potrebbe eseguire codice PHP dannoso. Non avrebbe bisogno di effettuare prima il login sul sito, e password deboli o plugin obsoleti non svolgono alcun ruolo nello sfruttamento. Un attacco riuscito potrebbe consentire di installare backdoor, modificare i contenuti del sito, creare account amministratore non autorizzati o rubare informazioni sensibili. Le vulnerabilità che non richiedono credenziali sono considerate tra le classi più gravi di falle web, perché le normali difese di accesso — password complesse, autenticazione a due fattori, buona gestione dei plugin — non entrano mai in gioco.

La falla presenta un punteggio di gravità CVSS di 8.1 su 10, che la colloca nella categoria ad alto rischio della scala standard di vulnerabilità da 0 a 10. Secondo Wordfence, interessa le versioni di WordPress dalla 4.7 alla 7.1.3, un intervallo che copre quasi un decennio di rilasci. Poiché WordPress alimenta circa il 39.5% di tutti i siti web al mondo, secondo W3Techs, la popolazione di siti potenzialmente esposti è notevole — un'unica falla nel cuore del software può inserire blog, testate giornalistiche e aziende nello stesso pool di rischio finché non vengono applicate le patch.

Wordfence dichiara che gli aggressori hanno begun a prendere di mira la falla il 28 ottobre, lo stesso giorno in cui WordPress ha rilasciato il proprio aggiornamento di sicurezza. In tutto il settore software, il rilascio di una correzione pubblica è considerato un potenziale segnale di partenza per gli aggressori, poiché le patch possono rivelare le debolezze che riparano — uno dei motivi per cui i team di sicurezza sollecitano gli amministratori ad aggiornare immediatamente anziché secondo un calendario di routine. Il monitoraggio iniziale ha rilevato oltre 18.500 richieste sospette in circa 21 ore, e i numeri sono poi cresciuti stabilmente. Al 6 novembre, il firewall di Wordfence aveva bloccato oltre 240.000 tentativi di exploit. Il giorno più intenso è stato il 30 ottobre, con oltre 74.000 richieste dannose bloccate.

I ricercatori hanno inoltre osservato aggressori che sonda i siti ripetutamente per lunghi periodi, apparentemente in attesa che i siti vulnerabili entrino nella breve finestra di aggiornamento in cui i file di installazione diventano pubblicamente raggiungibili. Le richieste bloccate non equivalgono a violazioni confermate. Lo sfruttamento richiede una tempistica precisa, il che rende la prendere il controllo di un sito considerevolmente più difficile rispetto all'invio di una semplice richiesta. Ciononostante, il volume di traffico mostra un forte interesse da parte degli aggressori.

Correzione, scadenza e consigli per i proprietari di siti

WordPress ha rilasciato la versione 7.1.4 il 28 ottobre. Il rilascio corregge la falla insieme ad altri problemi di sicurezza, e patch sono disponibili anche per i vecchi rami ancora supportati, così che gli amministratori di versioni legacy possano applicare le correzioni.

Il 3 novembre, l'agenzia statunitense per la cybersecurity e la sicurezza delle infrastrutture (CISA) ha aggiunto la falla al proprio catalogo delle vulnerabilità sfruttate note — un elenco riservato alle falle confermate come attivamente sfruttate — e ha concesso alle agenzie federali civili fino al 6 novembre per correggerla. Le inserzioni nel catalogo sono obbligatorie e non consultive: ai sensi della direttiva operativa vincolante 22-01 della CISA, le agenzie federali civili sono tenute a rimediare alle vulnerabilità elencate entro la scadenza assegnata a ciascuna falla. CISA ha confermato che la falla viene sfruttata nella pratica.

I ricercatori hanno anche segnalato un inconveniente per i siti che rimangono vulnerabili. Poiché il software vecchio e non corretto gestisce il primo passo dell'aggiornamento, un sito può restare esposto anche mentre installa proprio l'aggiornamento che corregge la falla. Wordfence consiglia di bloccare l'accesso web ai file PHP nella directory /wp-content/upgrade/ prima di avviare l'aggiornamento.

L'azienda ha già aggiunto la protezione firewall per i clienti Premium, Care e Response, e gli utenti del plugin gratuito riceveranno la stessa protezione il 27 novembre. Gli amministratori sono invitati a verificare che l'aggiornamento sia completato, controllare i log del server e rivedere gli account amministratore alla ricerca di modifiche non autorizzate.

Le aziende cripto che operano su WordPress affrontano un rischio aggiuntivo, secondo i rapporti. Gli exchange, i progetti blockchain e i siti di notizie cripto potrebbero subire manomissioni del sito o l'inserimento di link di phishing nelle loro pagine. La falla non interessa direttamente le reti blockchain o i wallet, ma un sito violato potrebbe comunque indurre in inganno i visitatori spingendoli a collegare i wallet o ad approvare transazioni false — un promemoria che per le aziende cripto il sito web davanti alla blockchain fa parte della loro sicurezza operativa.

Al 6 novembre, Wordfence aveva bloccato oltre 240.000 tentativi di sfruttare la vulnerabilità, e gli amministratori sono invitati a installare WordPress 7.1.4, applicare le protezioni di directory raccomandate e verificare i propri siti in seguito. Le date ormai sul calendario — la scadenza federale del 6 novembre per la patch e il rollout del 27 novembre della protezione firewall agli utenti del plugin gratuito — sono i punti di controllo visibili da seguire mentre la risposta si svolge, insieme al conteggio in continuo aggiornamento dei tentativi bloccati da parte di Wordfence.