Un’altra settimana, un altro plugin WordPress ampiamente diffuso finito nel mirino dei ricercatori. Questa volta il protagonista involontario è WPvivid Backup & Migration, il plugin gratuito installato su oltre 900.000 siti attivi secondo le statistiche del repository ufficiale WordPress.org. La vulnerabilità è stata catalogata come CVE-2026-1357, con un punteggio CVSSv3 di 9.8 su 10: critical in senso stretto, sfruttabile in modo remoto e senza autenticazione. La falla consente a un attaccante non autenticato di eseguire codice arbitrario sul server (Remote Code Execution) attraverso una deserializzazione non sicura nel modulo di importazione dei backup. Il team di WPvivid ha rilasciato la patch nella versione 0.9.108, diffusa nelle ultime 48 ore, ma un’analisi dei dati di aggiornamento mostra che a inizio settimana meno del 30% delle installazioni aveva applicato la fix. Per le PMI italiane che usano WordPress e WooCommerce, e in particolare per quelle che hanno inserito WPvivid come strumento di backup rapido per il proprio hosting, la finestra di rischio è aperta e va chiusa entro pochi giorni.
La dinamica tecnica merita qualche riga per capire dove sta il pericolo reale. Il plugin espone un endpoint AJAX destinato a ricevere pacchetti di backup importati da altre installazioni. Nell’implementazione vulnerabile, i dati serializzati contenuti nel file di import venivano passati direttamente a unserialize() senza sanitizzazione né restrizione delle classi ammesse. In presenza di catene di POP gadget (Property-Oriented Programming) note nei framework PHP moderni, un attaccante può costruire un payload che, una volta deserializzato, innesca l’esecuzione di codice arbitrario sul processo PHP. La vulnerabilità non richiede alcun ruolo utente: basta poter raggiungere l’URL admin-ajax.php, che nella maggior parte dei siti WordPress è esposto pubblicamente. Ricercatori di Patchstack e Wordfence hanno confermato che scansioni di massa contro l’endpoint sono partite entro poche ore dalla pubblicazione dell’advisory, con quote di traffico malevolo che nel weekend hanno superato i 17.000 tentativi bloccati nelle prime 24 ore di monitoraggio. Non si tratta quindi di una vulnerabilità teorica: è già oggetto di exploitation attivo su larga scala.
Il profilo delle vittime è particolarmente delicato. WPvivid Backup & Migration è uno strumento amato dai gestori di siti piccoli e medi proprio per la sua semplicità: nessuna configurazione complessa, backup pianificati verso Google Drive, Dropbox, Amazon S3 e destinazioni FTP, ripristino con pochi click. Molte agenzie lo installano di default sui siti in gestione ordinaria perché costa poco in RAM, funziona su hosting condivisi e non richiede skill sistemistiche. Il rovescio della medaglia è che i siti che lo montano tendono a essere quelli con meno risorse di manutenzione: freelance, piccoli e-commerce provinciali, siti vetrina di studi professionali, blog gestiti internamente. Sono anche gli ambienti dove la patch tarda ad arrivare, dove non c’è un WAF davanti e dove il backup, paradossalmente, diventa la porta d’ingresso di chi vuole trafugare dati o piazzare una web shell. Se gestisci più siti WordPress per clienti o li tieni tu direttamente, questa è una di quelle vulnerabilità dove il “lo faccio dopo agosto” può costare un incidente di sicurezza con relativa notifica al Garante Privacy sotto GDPR.
Cosa significa per la tua agenzia o PMI
Chi ha in gestione siti WordPress deve agire nelle prossime ore. Ecco le azioni concrete che consigliamo di eseguire entro fine settimana.
- Aggiorna subito WPvivid Backup & Migration alla versione 0.9.108 su tutti i siti in gestione: verifica manualmente la versione installata perché in alcuni casi l’auto-update non parte per conflitti di permessi FTP.
- Se non puoi aggiornare immediatamente, disattiva il plugin dal pannello admin: un backup che non parte per due giorni è un problema gestibile, un RCE sfruttato è una notifica al Garante e un cliente perso.
- Analizza i log del web server alla ricerca di richieste POST verso
/wp-admin/admin-ajax.phpcon parametroaction=wpvivid_import_backuparrivate da IP non abituali negli ultimi sette giorni: sono indicatori di tentativi di exploitation. - Attiva o rafforza il WAF: Wordfence Free, Cloudflare Managed Rules e Sucuri hanno già rilasciato regole specifiche per bloccare i payload noti. Anche un WAF gratuito, ben configurato, riduce l’esposizione.
- Fai un post-mortem sulle strategie di backup: se scopri che il plugin era sui siti solo perché comodo, valuta di sostituirlo con soluzioni gestite direttamente dall’hosting (Aruba, SiteGround, Kinsta) che offrono backup snapshot senza esporre endpoint AJAX pubblici.
Il caso WPvivid non è isolato. Nelle ultime dieci settimane la community WordPress ha visto una raffica di vulnerabilità critiche su plugin di larghissima diffusione: Kirki (CVE-2026-8206), Everest Forms Pro (CVE-2026-3300), All-In-One Security (CVE-2026-8438), Avada Builder (CVE-2026-8713), la campagna backdoor sulle MU-Plugins segnalata a inizio luglio. Non è un caso isolato ma un pattern strutturale: il rapporto CVE 2026 di Patchstack indica che il numero di vulnerabilità pubblicate nell’ecosistema WordPress ha superato quota 4.900 su base annua, con un incremento del 21% rispetto al 2024. La superficie d’attacco cresce perché il numero medio di plugin per sito continua a salire (oggi siamo sopra i 22 plugin installati per sito medio, secondo i dati Kinsta), mentre gli aggiornamenti restano il punto debole della catena. Le PMI italiane, spesso senza reparto IT interno, si trovano nella parte più esposta della statistica.
La lezione operativa per un’agenzia web che gestisce decine o centinaia di WordPress è ripetitiva ma va detta ancora una volta. Serve un piano di patch management strutturato, con una checklist settimanale che passi in rassegna Wordfence Intelligence, il feed di Patchstack e la mailing list di WordPress.org sicurezza. Serve un inventario aggiornato dei plugin installati per cliente, così che quando esce un CVE critico si sappia in cinque minuti quali siti sono impattati. Serve un WAF gestito centralmente, non lasciato al fai-da-te di ciascun cliente. E serve una politica di backup out-of-band: gli snapshot devono vivere fuori dal server, ideal-mente su un cloud storage con retention di 30 giorni e credenziali diverse da quelle usate per l’hosting. Se tutto questo lo hai già, la CVE-2026-1357 la risolvi in un’ora. Se non ce l’hai, questa è l’occasione per costruirlo, perché a fine luglio sarà uscita la prossima vulnerabilità critica e la successiva ancora, e ogni volta perdere due giorni può fare la differenza tra un cliente aggiornato e un sito compromesso in produzione.
Fonte: WordPress plugin with 900k installs vulnerable to critical RCE flaw – BleepingComputer
