CISA segnala attacchi a una falla di WordPress corretta nella versione 7.1.4

Il 3 novembre 2026 l'agenzia statunitense per la cybersicurezza, la CISA, ha inserito nel suo catalogo delle vulnerabilità sfruttate la CVE-2026-119977, una falla del nucleo di WordPress. L'agenzia dice di averlo fatto sulla base di prove di attacchi in corso. La correzione esiste già: è arrivata il 28 ottobre con WordPress 7.1.4.

Un difetto nella procedura di aggiornamento

La CISA descrive il problema come una race condition di tipo TOCTOU: il sistema controlla una condizione e la usa un istante dopo, e in quell'intervallo un attaccante può inserirsi. Nel rilascio della versione 7.1.4, il team di WordPress spiega che il punto debole sta nel processo di aggiornamento e che, mentre l'aggiornamento è in corso, può portare all'esecuzione di codice da remoto sul server. La segnalazione è di Umut Bayram.

La stessa versione chiude anche altre falle, in gran parte di tipo cross-site scripting, e le correzioni vengono riportate su tutti i rami ancora coperti dagli aggiornamenti di sicurezza, fino alla 4.7. Al 4 novembre WordPress indica che questi rilasci per i rami più vecchi escono man mano che sono pronti.

L'inserimento nel catalogo obbliga solo le agenzie federali statunitensi a intervenire, ma la CISA invita tutte le organizzazioni a dare la precedenza alle vulnerabilità che vi compaiono. Per un sito aziendale italiano il motivo è pratico: una falla nota e già usata negli attacchi riguarda qualsiasi sito esposto che non sia stato aggiornato, non solo quelli delle grandi organizzazioni.

Cosa cambia per te

Se il tuo sito usa WordPress, conviene controllare oggi, non al prossimo giro di manutenzione:

• Verifica la versione. Nel pannello di amministrazione, alla voce Aggiornamenti, il sito deve risultare alla 7.1.4 o a una versione successiva. Se resti su un ramo più vecchio, controlla che sia arrivata la relativa versione di sicurezza.
• Non dare per scontati gli aggiornamenti automatici. I siti che li supportano si aggiornano da soli, ma possono essere stati disattivati dall'hosting o da chi ha realizzato il sito. Guarda la versione effettiva, non l'impostazione.
• Fai un backup prima di aggiornare e conservalo fuori dal server del sito.
• Cerca segni di intrusione. Utenti amministratori che non conosci, file PHP comparsi di recente nelle cartelle del sito, reindirizzamenti strani: sono i controlli da fare se l'aggiornamento è arrivato tardi.
• Se non sai chi gestisce il sito, è il momento di scoprirlo: un sito senza un responsabile degli aggiornamenti resta esposto anche alla prossima falla.

Se vuoi che qualcuno verifichi versione, backup e tracce di accessi anomali, puoi chiedere un controllo o leggere come seguiamo siti e software.