Nelle ultime ore la community globale di WordPress è stata scossa da un’emergenza sicurezza di massima gravità. È stata infatti scoperta e resa nota una vulnerabilità critica battezzata “wp2shell” (tracciata ufficialmente come CVE-2026-63030) che colpisce direttamente il Core di WordPress.
Non si tratta del solito bug legato a un plugin di terze parti o a un tema poco conosciuto: parliamo di una falla presente nell’architettura nativa del CMS più utilizzato al mondo.
Cos’è wp2shell e perché è così pericolosa?
La vulnerabilità è un RCE (Remote Code Execution) di tipo pre-authentication. In parole semplici, significa che un malintenzionato può eseguire del codice dannoso sul server del tuo sito web senza bisogno di credenziali di accesso, login o particolari configurazioni. Sfruttando un difetto nell’API REST nativa di WordPress, un hacker può prendere il controllo totale del sito, accedere al database, rubare dati sensibili o utilizzarlo per infettare altri sistemi.
I dettagli tecnici più profondi sono tenuti al momento riservati dai ricercatori proprio per dare tempo ai difensori di correre ai ripari, ma con la diffusione di questa notizia la creazione di exploit automatici da parte dei cybercriminali è questione di ore.
Le versioni a rischio:
La falla colpisce i siti che utilizzano i rami di WordPress:
Dalla versione 6.9.0 alla 6.9.4 (risolta nella 6.9.5)
Dalla versione 7.0.0 alla 7.0.1 (risolta nella 7.0.2)
(Nota: è presente anche un problema di SQL Injection collegato che tocca la versione 6.8).
Il pericolo dei “Siti Fermi”: perché non devi rischiare
Sebbene il team di WordPress stia forzando degli aggiornamenti automatici in background per i siti idonei, non c’è alcuna garanzia che l’aggiornamento sia andato a buon fine su tutti i server. Molto spesso, configurazioni particolari, blocchi dei permessi di scrittura, hosting non ottimizzati o l’utilizzo di versioni PHP obsolete impediscono a questi aggiornamenti di sicurezza di installarsi.
Il rischio maggiore oggi lo corre chi ha un sito web fermo da tempo.
Molte aziende commettono l’errore di pensare: “Il mio sito è online, funziona, non devo toccarlo”. La verità è che un sito WordPress non aggiornato regolarmente è come una casa lasciata con la porta aperta in una strada isolata. Eventi come la falla wp2shell dimostrano che bastano pochi mesi di mancata manutenzione per esporre il proprio business a blocchi del servizio, sanzioni per la perdita di dati (GDPR) e danni d’immagine enormi.
Cosa devi fare adesso?
- Verifica immediata: Accedi al pannello di controllo del tuo sito e controlla la versione di WordPress installata. Assicurati di essere sulle versioni sicure (6.9.5, 7.0.2 o superiori).
- Backup preventivo: Prima di fare qualsiasi operazione di update su siti fermi da tanto tempo, fai un backup completo (file e database) per evitare che il salto di versione rompa componenti obsoleti.
- Applica le patch: Aggiorna WordPress, i plugin e i temi all’ultima versione disponibile.
Il tuo sito è abbandonato o hai paura di aggiornare? Ci pensa Web Creare
Sappiamo che per un’azienda mettere mano al codice o aggiornare una piattaforma ferma da anni fa paura: il rischio che qualcosa “si rompa” (soprattutto se ci sono e-commerce complessi o plugin personalizzati) è reale se non si sa dove mettere le mani.
Se non hai tempo da dedicare alla sicurezza, se non sai quale versione stai utilizzando o se il tuo sito è fermo da tempo e vuoi metterlo in sicurezza una volta per tutte, non aspettare che sia un hacker a ricordartelo.
Contattaci oggi stesso. Effettueremo un check-up completo del tuo sito WordPress, metteremo in sicurezza i tuoi dati e pianificheremo gli aggiornamenti necessari senza interrompere la tua attività.