Ing. Calogero Bono
WordPress 7.1.4 è una release di sicurezza uscita il 28 ottobre, e include la correzione di una falla che permette di eseguire codice sul server durante un aggiornamento del core. La CISA statunitense ha confermato che la vulnerabilità, CVE-2026-119977, viene sfruttata ed è stata inserita nel catalogo KEV. Conta perché l'attacco non richiede un account sul sito. Se gestisci siti WordPress, l'aggiornamento non è rimandabile.
Qualche termine, prima di entrare nei fatti. CVE è il codice che identifica una vulnerabilità nota. TOCTOU (time-of-check time-of-use) è una race condition, cioè un difetto in cui qualcosa cambia tra il controllo e l'uso di una risorsa. RCE significa esecuzione di codice da remoto. KEV è il catalogo CISA delle vulnerabilità di cui è provato lo sfruttamento. XSS stored è uno script malevolo salvato nel sito e proposto ai visitatori.
Che cosa è la falla CVE-2026-119977?
Secondo la comunicazione ufficiale di WordPress, si tratta di una debolezza nel processo di aggiornamento che può portare a esecuzione di codice da remoto durante la finestra di upgrade. La segnalazione è di Umut Bayram, ricercatore di Picus Security.
Come riporta BleepingComputer, il problema nasce dall'uso di percorsi di staging prevedibili e raggiungibili dal web durante gli aggiornamenti completi del core. La gravità è alta, con punteggio CVSS 8.1 secondo The Hacker News, e la complessità dell'attacco è elevata.
Quanto viene sfruttata davvero?
La CISA ha aggiunto la falla al catalogo KEV e ha ordinato alle agenzie federali civili di correggere entro il 6 novembre 2026. L'agenzia ha invitato anche le aziende private a dare priorità alla patch.
I numeri arrivano da Wordfence, quindi sono dichiarazioni di un'azienda di sicurezza. BleepingComputer riporta 13.095 attacchi bloccati in 24 ore. The Hacker News cita oltre 18.500 richieste verso percorsi «setup-config.php» nelle prime 21 ore e 12.632 attacchi bloccati in un'altra finestra di 24 ore. Previdian ha registrato tre tentativi contro la sua honeypot il 30 ottobre.
Cosa altro corregge WordPress 7.1.4?
La release non riguarda solo l'upgrade. L'elenco ufficiale comprende diverse falle di tipo XSS stored in blocchi e funzioni del core.
- blocco Categories, blocchi Playlist e immagine, blocchi di paginazione dei commenti
- Interactivity API, con più XSS e un caso di denial of service
- Customizer, con una XSS e la scoperta di changeset non pubblicati da parte di utenti anonimi
- richieste di rimozione dei dati personali e nomi utente costruiti ad arte
Sono corrette anche la lettura delle note da parte di utenti privilegiati senza diritti di modifica e i certificati radice, aggiornati per la revoca di eMudhra.
Perché il 2026 è un anno difficile per il core di WordPress?
Secondo BleepingComputer, a luglio il team di sicurezza ha corretto la catena wp2shell, composta da una confusione nelle route batch della REST API (CVE-2026-63030) e da una SQL injection (CVE-2026-60137). Gli exploit pubblici sono arrivati un giorno dopo le patch.
A settembre un attore di lingua cinese ha usato la catena per sottrarre dati da oltre 18.500 record di database di piccole imprese e organizzazioni pubbliche. Il precedente mostra quanto sia breve il tempo tra patch e attacco. Per approfondire, la nostra guida alla sicurezza WordPress spiega le difese di base.
Limiti da conoscere
Non sappiamo chi sia dietro gli attacchi né quanti siti siano stati compromessi. CISA non ha fornito dettagli sullo sfruttamento e i dati sugli attacchi bloccati vengono da Wordfence, con finestre di tempo diverse tra le fonti. Le correzioni per i rami più vecchi, fino al 4.7, sono ancora in arrivo e usciranno quando pronte.
Cosa cambia per chi lavora con il digitale
Aggiorna subito a 7.1.4, dalla voce Aggiornamenti della Dashboard, se gli aggiornamenti automatici non sono già partiti. Se non hai una procedura, la nostra strategia per aggiornare senza rompere il sito è un buon punto di partenza. Chi gestisce molti siti per i clienti deve verificare anche quelli dimenticati. Un firewall come quelli confrontati nella guida ai plugin di sicurezza aiuta, ma non sostituisce la patch.
Il nostro parere
La parte più scomoda è che la falla colpisce proprio il meccanismo con cui ci si dovrebbe proteggere. Aggiornare è la difesa, ma durante l'aggiornamento si apre la finestra di rischio. Il dato positivo è la risposta rapida del team di sicurezza. Il dato negativo è il ritmo del 2026, con una catena di exploit a luglio e un'altra falla sfruttata a ottobre. Chi tratta gli aggiornamenti come attività da fare quando c'è tempo sta scommettendo contro i numeri.
Domande frequenti
Cosa corregge WordPress 7.1.4?
Corregge una falla di esecuzione di codice nel processo di aggiornamento e diverse XSS stored. Include anche la correzione per un caso di denial of service e l'aggiornamento dei certificati radice.
La falla CVE-2026-119977 richiede un account?
No. Secondo Wordfence, riportata dalle fonti, non serve alcun account. L'attaccante deve però sfruttare una breve finestra durante un aggiornamento completo del core.
Quando esce WordPress 7.2?
È prevista per l'8 dicembre. La Beta 3 è già disponibile e contiene le correzioni applicabili.
Anche le versioni vecchie ricevono la patch?
Sì, in parte. Le correzioni sono in backport su tutti i rami idonei fino al 4.7 e usciranno quando pronte. WordPress ricorda che solo l'ultima versione è supportata attivamente.
La regola CISA vale anche per le aziende italiane?
No, la scadenza del 6 novembre riguarda solo le agenzie federali statunitensi. CISA però invita anche il settore privato a dare priorità alla patch.
Cosa guardare nelle prossime settimane su WordPress
La patch è disponibile, ma l'attenzione ora passa ai rami più vecchi e alla beta 7.2. Il periodo più rischioso è quello in cui l'exploit circola e i siti non sono aggiornati.
- Controlla l'arrivo dei backport per le versioni più vecchie che usi ancora e pianifica la migrazione.
- Leggi i log del server cercando richieste a percorsi di installazione come setup-config.php.
- Segui le note della Beta 3 e della 7.2, prevista per l'8 dicembre, prima di aggiornare in produzione.
