Oltre 440.000 attacchi colpiscono due plugin WordPress: cosa sta succedendo?

Due vulnerabilità critiche in plugin WordPress molto diffusi stanno attirando l’attenzione degli esperti di sicurezza.

I problemi, che riguardano Elementor Pro e Super Forms, permettono in determinate configurazioni di caricare file arbitrari senza autenticazione.

La gravità aumenta perché un file opportunamente preparato può arrivare all’esecuzione di codice sul server. Wordfence ha inoltre rilevato oltre 440.000 tentativi di sfruttamento, confermando che le falle sono già oggetto di attività malevola. Elementor Pro supera i sei milioni di installazioni attive, mentre Super Forms ne conta circa 13.000. Entrambi i plugin hanno ricevuto aggiornamenti correttivi. Per gli amministratori, quindi, la priorità è controllare immediatamente le versioni installate e verificare eventuali segnali di compromissione.

Le vulnerabilità consentono upload senza autenticazione

Il problema più esteso riguarda Elementor Pro. La vulnerabilità CVE-2026-32475 interessa le versioni fino alla 4.2.1 inclusa e ha ottenuto un punteggio CVSS di 9,8 su 10. Il difetto nasce dalla validazione insufficiente dei file caricati attraverso specifiche configurazioni dei moduli Elementor Pro.

Un attaccante può sfruttare il problema senza possedere un account sul sito quando una pagina utilizza un widget Elementor Pro Form con un campo File Upload non obbligatorio. Se il server accetta un file che può essere interpretato come codice, l’upload può trasformarsi in remote code execution. Le conseguenze possono comprendere modifica dei contenuti, installazione di malware e accesso ad altre risorse presenti sul server.

Wordfence ha comunicato di avere bloccato oltre 190.000 tentativi di sfruttamento della falla in Elementor Pro. Il dato non equivale al numero di siti compromessi, ma dimostra che gli aggressori stanno cercando attivamente installazioni vulnerabili. La correzione è disponibile e riguarda le versioni successive alla 4.2.1.

Super Forms presenta uno scenario analogo. La vulnerabilità CVE-2026-14894 ha anch’essa un punteggio CVSS di 9,8 e consente a un utente non autenticato di caricare file arbitrari nelle versioni fino alla 6.3.313 inclusa. Wordfence ha rilevato più di 250.000 tentativi di exploit contro questo plugin. La combinazione tra accesso anonimo e caricamento di file rende entrambe le falle particolarmente interessanti per chi cerca un punto d’ingresso iniziale in un sito WordPress.

Gli attacchi sono già in corso: cosa verificare

L’attività osservata rende necessario intervenire rapidamente, soprattutto sui siti che utilizzano moduli con funzioni di caricamento. Dopo l’aggiornamento, è opportuno controllare i log del server alla ricerca di richieste anomale e verificare le directory destinate agli upload. La presenza di file PHP inattesi, timestamp insoliti o richieste provenienti da indirizzi sospetti può indicare un tentativo di compromissione precedente alla correzione.

Un semplice aggiornamento non basta se l’attaccante è riuscito a installare una backdoor prima dell’intervento. In quel caso occorre esaminare i file modificati, gli account amministrativi, le attività recenti e le credenziali potenzialmente esposte. Nei siti più importanti può essere necessario confrontare i file con una copia integra o con i pacchetti ufficiali dei plugin.

La vicenda evidenzia anche un aspetto ricorrente della sicurezza WordPress: il rischio non dipende esclusivamente dal CMS, ma dalle estensioni che aggiungono funzionalità al sito. Plugin che gestiscono upload e moduli hanno accesso a componenti particolarmente sensibili dell’installazione. Mantenere aggiornati WordPress, temi e plugin riduce quindi una delle principali superfici d’attacco.