Questa è la traduzione dell’articolo “WordPress 7.0.2 Release” presente nel blog Make di WordPress.org con le nostre annotazioni (quelle con lo sfondo colorato).
WordPress 7.0.2 è ora disponibile.
La versione di sicurezza 7.0.2 risolve un problema di sicurezza critico e uno di gravità elevata.
Poiché si tratta di un aggiornamento di sicurezza, si raccomanda di aggiornare immediatamente i propri siti. Data la gravità del problema, il team di WordPress.org ha attivato gli aggiornamenti forzati tramite il sistema di aggiornamento automatico per i siti che utilizzano le versioni interessate.
Per eseguire l’aggiornamento manualmente, puoi accedere alla Bacheca di WordPress, fai clic su “Aggiornamenti” e poi su “Aggiorna alla versione…”, oppure puoi scaricare WordPress 7.0.2 da WordPress.org. Sui siti che supportano gli aggiornamenti automatici in background, il processo di aggiornamento inizierà automaticamente.
Nota di Scuola WP sulla vulnerabilità critica wp2shell
Il 17 luglio 2026 WordPress ha rilasciato un aggiornamento di sicurezza d’emergenza per correggere una falla RCE (Remote Code Execution) non autenticata nel core, soprannominata “wp2shell“. La vulnerabilità è stata individuata da Adam Kues di Searchlight Cyber, che ha pubblicato anche uno strumento di verifica su wp2shell.com per testare l’esposizione del proprio sito.
Cos’è successo in breve
Quello scoperto, “wp2shell”, è un problema di sicurezza trovato all’interno dell’installazione base di WordPress, non in un componente extra come un plugin o un tema. Questo significa che il problema riguarda potenzialmente tutti i siti WordPress che usano una versione vulnerabile, indipendentemente da cosa ci hanno installato sopra.
In pratica, un malintenzionato può inviare una richiesta appositamente costruita a un sito WordPress vulnerabile — senza bisogno di username, password o alcuna azione da parte della vittima — e riuscire a eseguire comandi sul server come se fosse lui l’amministratore. Se l’attacco va a buon fine, chi attacca può leggere e modificare i contenuti del sito, creare nuovi account amministratore, installare programmi dannosi o persino nascondere una “porta di servizio” (chiamata web shell) per continuare a controllare il sito anche in futuro.
La buona notizia è che WordPress ha già rilasciato una correzione, la versione 7.0.2, e su molti siti l’aggiornamento potrebbe essere già avvenuto in automatico.
Cosa fare dopo l’aggiornamento di WordPress? L’aggiornamento ti mette al sicuro da nuovi tentativi di accesso, ma non pulisce il sito da attacchi già ricevuti. Controlla se sono presenti nuovi utenti con il ruolo di amministratore, e nel caso rimuovili immediatamente.
Ti consigliamo di leggere la nostra guida sulla sicurezza di WordPress.
Aggiornamenti di sicurezza inclusi in questa versione
Il team di sicurezza desidera ringraziare le seguenti persone per aver segnalato in modo responsabile le vulnerabilità e aver consentito la loro correzione in questa versione:
- Un problema di SQL injection facilitata segnalato congiuntamente dal team composto da TF1T, dtro e haongo
- Un problema di confusione tra i percorsi batch dell’API REST e un’iniezione SQL che porta all’esecuzione di codice remoto, segnalato da Adam Kues di Assetnote / Searchlight Cyber
Per ulteriori informazioni su questa versione, visita il sito di HelpHub.
Backport
- WordPress 6.9 è soggetto a entrambe le vulnerabilità. È stata rilasciata la versione 6.9.5, che contiene le correzioni per entrambe.
- WordPress 6.8 è soggetto solo alla prima vulnerabilità. È stata rilasciata la versione 6.8.6, che contiene una correzione.
- La versione beta di WordPress 7.1 è soggetta a entrambe le vulnerabilità. È stata rilasciata la versione 7.1 beta2, che contiene le correzioni per entrambe.
- Le versioni di WordPress precedenti alla 6.8 non sono interessate dal problema.
Riferimenti a CVE e GHSA
Grazie a questi contributori di WordPress
Questa versione è stata guidata da John Blackbourn e Barry Abrahamson. Oltre agli esperti di sicurezza già citati, WordPress 7.0.2 non sarebbe stato possibile senza il contributo fondamentale delle seguenti persone: Aaron Jorbin, Alex Concha, annezazu, Barry, David Baumwald, Dominik Schilling, Ehtisham Siddiqui, Joe Dolson, Joe Hoyle, John Blackbourn, Jonathan Desrosiers, Marius L. J., Matt Mullenweg, Mohammad Jangda, Peter Wilson, Sergey Biryukov, vortfu, Weston Ruter, oltre a rappresentanti di Altis, Automattic, Bluehost, Cloudflare, GoDaddy, Hostinger e WP Engine.
Come funziona il problema
Il difetto nasce da una “confusione” nella gestione delle rotte batch della REST API (endpoint /wp-json/batch/v1), che porta a un’iniezione SQL sfruttabile senza autenticazione e concatenabile fino all’esecuzione di codice remoto. Il bug è tracciato con due identificativi CVE, CVE-2026-63030 e CVE-2026-60137. Secondo le stime di Searchlight, oltre 500 milioni di siti utilizzano WordPress, quindi la superficie di attacco potenziale è enorme.aikido+1
Versioni interessate
| Versione | Stato | Fix |
|---|---|---|
| WordPress 6.9.0 – 6.9.4 | Vulnerabile a RCE | 6.9.5 |
| WordPress 7.0.0 – 7.0.1 | Vulnerabile a RCE | 7.0.2 |
| WordPress 7.1 beta | Vulnerabile a RCE | 7.1 beta2 |
| WordPress 6.8.x | Vulnerabile a SQL injection separata | 6.8.6 |
| Versioni precedenti a 6.8 | Non interessate | —- |
Cosa fare subito
Aggiornare immediatamente a WordPress 7.0.2 (o 6.9.5 per chi resta sul ramo 6.9) è la priorità assoluta, e WordPress.org ha attivato gli aggiornamenti automatici forzati per i siti interessati vista la gravità del problema. È comunque consigliabile verificare manualmente la versione nel proprio pannello di controllo piuttosto che dare per scontato l’aggiornamento automatico. Chi non può aggiornare subito può adottare misure temporanee: bloccare l’accesso non autenticato alla REST API tramite plugin, bloccare via WAF il percorso /wp-json/batch/v1 e il parametro rest_route=/batch/v1, oppure aggiungere un mu-plugin che richieda l’autenticazione sulla rotta batch — tutte soluzioni da considerare solo come tampone provvisorio, poiché possono interferire con il traffico REST legittimo.aikido+1
Alcuni analisti sottolineano inoltre che aver applicato la patch non equivale automaticamente a essere al sicuro: è opportuno monitorare il proprio ambiente per eventuali segnali di compromissione avvenuti prima dell’aggiornamento, dato che i proof-of-concept sono già pubblici.
