// TOM'S HARDWARE ITALIA — CYBERSECURITY
WordPress sotto attacco: 440.000 exploit contro due plugin
Attori malevoli stanno sfruttando due vulnerabilità critiche presenti nei plugin WordPress Super Forms ed Elementor Pro. Le attività osservate hanno già superato complessivamente i 440.000 tentativi di exploit: gli attacchi possono installare file PHP sul server, eseguire codice arbitrario e consegnare agli aggressori il controllo completo del sito.
Le falle sono identificate come CVE-2026-14894 e CVE-2026-32475. Entrambe riguardano la gestione dei file caricati attraverso i moduli, ma interessano componenti e procedure differenti. Se lo sfruttamento riesce, un aggressore può creare account amministrativi, sottrarre informazioni, modificare le pagine pubblicate oppure utilizzare il server compromesso per distribuire ulteriori contenuti malevoli.
Nel caso di Super Forms, gli aggressori inviano una richiesta HTTP POST all'indirizzo /wp-admin/admin-ajax.php, richiamando l'endpoint super_submit_form. La richiesta contiene un campo file con un payload PHP codificato in Base64 e un nome controllato dall'attaccante. Il contenuto viene presentato come immagine GIF, ma l'estensione del file caricato rimane .php.
Il payload individuato installa una web shell PHP denominata Mushr00w_upl.php. Una volta raggiungibile dal web, questo strumento funziona come un pannello di caricamento clandestino attraverso il quale possono essere trasferiti altri file sul server. L'accesso ottenuto non rimane quindi limitato al singolo modulo vulnerabile, ma può estendersi all'intera installazione WordPress.
Le protezioni di Wordfence hanno bloccato oltre 250.000 richieste rivolte alla falla di Super Forms e più di 190.000 contro quella di Elementor Pro. La prima campagna è stata rilevata a partire dal 14 luglio e ha raggiunto un picco superiore a 40.000 richieste il 18 agosto; lo sfruttamento della seconda vulnerabilità è iniziato il 19 agosto.
Per compromettere Elementor Pro, il sito deve avere almeno una pagina Elementor pubblicata contenente un Form widget con il campo File Upload. L'attaccante invia il campo come array: il primo elemento viene lasciato vuoto, mentre il secondo trasporta il payload PHP. Questa struttura aggira la validazione e deposita il file nella directory /wp-content/uploads/elementor/forms/ con un nome casuale e l'estensione scelta dall'aggressore.
Una compromissione del CMS può trasformare anche un sito legittimo in un veicolo per campagne di phishing capaci di sottrarre dati, oltre a consentire reindirizzamenti, spam e distribuzione di malware. La presenza di nuovi amministratori, file PHP modificati di recente o script sconosciuti nelle cartelle di upload deve essere trattata come un possibile segnale di intrusione.
Gli amministratori che utilizzano i due plugin devono installare immediatamente le versioni corrette, senza limitarsi a disattivare temporaneamente i moduli interessati. Dopo l'aggiornamento è necessario cercare indicatori di compromissione, verificare gli account privilegiati, controllare i log delle richieste e ispezionare le directory di caricamento. Il ripristino da un backup pulito può rendersi necessario quando l'accesso iniziale ha già consentito l'installazione di payload aggiuntivi.
Aggiungi Tom's Hardware alle tue fonti preferite su Google