Wp2shell: la falla nel core di WordPress che devi conoscere

Se gestisci uno o più siti WordPress, questa è una di quelle notizie da non archiviare nella cartella “poi la leggo”. CERT-AGID ha lanciato un avviso su vulnerabilità critiche individuate nel core di WordPress. Non in un plugin di terze parti, non in un tema obsoleto ma nel core della piattaforma: wp2shell sfrutta vulnerabilità che consentono l’esecuzione di codice, anche senza che sia necessaria alcuna autenticazione.

Perché wp2shell è diversa dalle altre

Chi lavora con WordPress lo sa: la stragrande maggioranza dei problemi di sicurezza nasce da plugin e temi, non dal core della piattaforma, che è generalmente solido e testato. È proprio per questo che Wp2shell fa rumore: colpisce il cuore stesso di WordPress e quindi riguarda potenzialmente milioni di siti, indipendentemente da quali plugin abbiano installato.

Il nome nasce dalla combinazione di due vulnerabilità distinte che, usate insieme, diventano porta d’ingresso per chi vuole prendere il controllo di un sito senza nemmeno avere delle credenziali:

1. SQL injection nel core di WordPress.
2. Falla nella gestione delle richieste batch della REST API.

Da sole, le due vulnerabilità sono già un problema. Combinate, permettono a un attaccante non autenticato di raggiungere funzionalità riservate e sfruttare l’SQL injection per compiere azioni ben più gravi di un semplice accesso ai dati.

Cosa rischia concretamente un sito vulnerabile

Nella peggiore delle ipotesi, la catena d’attacco wp2shell può portare a:

• Accesso non autorizzato ai dati del sito e del database;
• Compromissione degli account admin, con la possibilità per l’attaccante di prendere il controllo totale del pannello di gestione;
• Installazione di web shell o di altro codice malevolo, che apre la strada a defacement, furto di dati, utilizzo del server per altri attacchi o come base per campagne di spam e phishing.

In poche parole: nel peggiore dei casi, il sito smette di essere tuo.

Quali versioni di WordPress sono coinvolte

Ecco il quadro delle versioni interessate, così come indicato da CERT-AGID:

• WordPress 6.9.0 → 6.9.4 e 7.0.0 → 7.0.1: esposte all’intera catena di attacco, quindi al rischio più elevato;
• WordPress 6.8.0 → 6.8.5: interessate dalla sola vulnerabilità SQL injection, senza la combinazione completa che abilita l’esecuzione di codice da remoto (ma comunque da aggiornare senza indugi).

Le versioni che risolvono il problema sono già disponibili:

• WordPress 6.8.6
• WordPress 6.9.5
• WordPress 7.0.2

Se il tuo sito gira su una delle versioni “a rischio”, l’aggiornamento non è opzionale: è la prima cosa da fare, oggi stesso.

Come capire se il tuo sito è già stato colpito

Aggiornare WordPress è il passo numero uno, ma se il sito è rimasto esposto per un po’ di tempo vale la pena controllare che non ci siano già segnali di compromissione. Tra i campanelli d’allarme da monitorare:

• richieste sospette dirette agli endpoint /wp-json/batch/v1 o ?rest_route=/batch/v1;
• nuovi account amministratore che non ricordi di aver creato;
• file del sito modificati senza una ragione apparente;
• plugin o temi comparsi dal nulla;
• file PHP anomali, potenzialmente delle web shell camuffate;
• accessi o query sospette sul database;
• credenziali o configurazioni cambiate senza il tuo intervento.

Se noti anche solo uno di questi segnali, l’aggiornamento da solo potrebbe non bastare: il consiglio è isolare il sistema, conservare le evidenze utili a un’eventuale analisi forense e considerare compromesse tutte le credenziali, i token e i segreti accessibili dal sito, procedendo quindi a rigenerarli.

Il vero problema non è la vulnerabilità: è il tempo

Le falle di sicurezza nel software fanno parte della vita di ogni piattaforma, per quanto solida — è normale, capita a WordPress come a chiunque altro. Quello che fa davvero la differenza tra un incidente sfiorato e un sito compromesso è quanto velocemente arriva l’aggiornamento. E qui, va detto con franchezza, molti siti restano scoperti per settimane o mesi semplicemente perché nessuno se ne occupa attivamente.

Se gestisci il tuo sito in autonomia, il consiglio è semplice: verifica subito la versione di WordPress installata e aggiorna senza aspettare. Se invece preferisci non dover rincorrere ogni bollettino di sicurezza da solo, è proprio qui che un hosting pensato per la sicurezza fa la differenza: con WordPress Toolbox (disponibile con i piani Hosting WordPress) puoi gestire aggiornamenti e stato del CMS direttamente dal pannello, mentre servizi come Antivirus Protection PRO e Web Monitoring lavorano in background per intercettare comportamenti anomali prima che diventino un problema serio.