La sicurezza degli ecosistemi WordPress aziendali subisce un nuovo colpo serio. Il 30 giugno 2026 la comunità di sicurezza informatica conferma che CVE-2026-3300, vulnerabilità critica nel plugin Everest Forms Pro per WordPress, è oggetto di sfruttamento attivo in tutto il mondo. Il bug, classificato con un punteggio CVSS di 9,8 su 10 — il livello più alto della scala “critical” — permette a un attaccante non autenticato di eseguire codice PHP arbitrario sul server vittima, ottenendo di fatto il controllo totale del sito. Bleeping Computer e The Hacker News hanno riportato che gli analisti hanno già intercettato oltre 29.000 tentativi di exploit, con campagne automatizzate che colpiscono indiscriminatamente qualunque installazione WordPress vulnerabile. Il payload più ricorrente cerca di creare un account amministrativo di nome “diksimarina” — una firma che gli amministratori possono cercare per verificare se sono stati colpiti. Per chiunque gestisca siti WordPress in Italia, soprattutto ecommerce, portali editoriali o landing di lead generation per PMI, questa non è una minaccia teorica: è un’emergenza operativa che richiede patching immediato.
Dettagli tecnici della falla
La vulnerabilità risiede in un componente specifico del plugin: il Calculation Addon, una funzionalità che permette di costruire form con calcoli dinamici — pensiamo a configuratori prodotto, preventivi auto, quotazioni di servizi. La funzione process_filter() concatena i valori inviati dall’utente all’interno di una stringa di codice PHP, che viene poi passata a eval(). Il problema è che la sanitizzazione applicata, sanitize_text_field(), rimuove tag HTML e caratteri di controllo ma non sfugge gli apici singoli né altri metacaratteri del PHP. Un attaccante che invia un valore costruito ad arte chiude la stringa, inietta codice e ottiene esecuzione remota completa. È il manuale di scuola dell’eval injection: pattern noto da vent’anni e che ancora oggi compare in plugin con centinaia di migliaia di installazioni. La vulnerabilità interessa tutte le versioni di Everest Forms Pro fino alla 1.9.12 inclusa. La patch è disponibile nella versione 1.9.13, rilasciata dal team WPEverest. Da notare: la versione gratuita “Everest Forms” su repository ufficiale WordPress.org non è interessata; solo la versione Pro, distribuita con licenza commerciale, contiene il Calculation Addon vulnerabile. Le agenzie che vendono siti vetrina su WordPress con form di contatto custom dovrebbero verificare se hanno mai installato la versione Pro per qualche cliente — è una sleeper-vulnerability classica.
Chi è davvero in pericolo
Everest Forms è uno dei plugin più diffusi della sua categoria, con oltre cento mila installazioni attive nella versione free e una porzione significativa di clienti Pro. In Italia il plugin è popolare tra le agenzie web che lo propongono ai clienti come alternativa più economica e flessibile a Contact Form 7 o a WPForms, soprattutto quando servono moduli multi-step, calcoli di preventivo, condizional logic. Sono tipicamente coinvolti: configuratori per officine meccaniche, calcolatori di preventivo per studi notarili, form di richiesta sopralluogo per imprese edili, moduli di iscrizione corsi per centri di formazione. Tutti scenari di Made in Italy in cui un attacco non vuol dire solo defacement: vuol dire fuga di dati personali soggetti a GDPR, perdita di accesso al pannello, eventuale compromissione di altri siti se l’hosting è condiviso, e responsabilità legale del titolare. L’exploit non richiede credenziali e si propaga via bot. Anche il sito più piccolo di un avvocato di Lecco che usa Everest Forms Pro è esposto esattamente come un portale enterprise. Non c’è una soglia di “sito troppo piccolo per essere visto”: gli scanner automatici colpiscono per indirizzo IP, non per importanza commerciale.
Cosa fare nelle prossime ore
La prima cosa da fare è una verifica rapida del parco siti gestiti. Da terminale o tramite WP-CLI: wp plugin list --status=active | grep -i everest. In assenza di WP-CLI, basta accedere al pannello WordPress e controllare la pagina Plugin → Installati. Se trovi “Everest Forms Pro” con versione inferiore a 1.9.13, sei vulnerabile. Aggiorna immediatamente. Se l’aggiornamento automatico è disabilitato — pratica comune nelle agenzie che gestiscono molti siti — fallo a mano dal pannello o scaricando la nuova versione dall’area cliente WPEverest. Successivamente esegui un’analisi post-incident: cerca utenti amministratori sospetti (in particolare il nome “diksimarina” ma anche utenti creati di recente che non riconosci); ispeziona il filesystem alla ricerca di file .php sospetti in /wp-content/uploads/, dove tipicamente vengono caricati i web shell; controlla i log Apache/Nginx per richieste POST verso /?everest_forms con payload anomali; se hai un firewall applicativo come Wordfence o Sucuri, scarica i report degli ultimi 7 giorni. In caso di dubbio, ripristina da backup pulito anteriore al 13 aprile 2026, data dei primi exploit osservati in natura. E ovviamente cambia tutte le password admin e ruota le API key.
Cosa significa per la tua agenzia o PMI
- Inventario plugin entro 24 ore: gira un censimento su tutti i siti che gestisci, cercando Everest Forms Pro con versione <1.9.13. Senza inventario aggiornato non puoi rispondere all’emergenza.
- Patch o disattivazione immediata: se l’aggiornamento alla 1.9.13 non è possibile subito (per esempio per conflitti con un tema custom), disattiva il plugin nell’attesa. Un form di contatto offline per due ore è meglio di un server compromesso.
- Cerca l’utente “diksimarina” su tutti i siti WordPress: è la firma più diffusa di questa campagna. Se lo trovi, considera il sito compromesso e procedi con un ripristino full.
- Aggiorna il contratto di manutenzione con i tuoi clienti: stabilisci ufficialmente una finestra SLA per le patch critiche (es. 12 ore dalla pubblicazione del CVE). Le PMI italiane non hanno team IT interni: la responsabilità ricade sulla web agency.
- Adotta un firewall applicativo se non lo fai già: Wordfence Premium, Sucuri o servizi di hosting con WAF integrato. Avrebbero bloccato gli exploit prima che la patch fosse disponibile.
Fonte: Critical Everest Forms Pro flaw exploited to take over WordPress sites – BleepingComputer
