Un’altra vulnerabilita’ critica scuote l’ecosistema WordPress a luglio 2026 e questa volta il bersaglio e’ un componente che tantissimi siti PMI usano ogni giorno per raccogliere lead, richieste di preventivo, curriculum e documenti dai clienti. Parliamo di Ninja Forms File Uploads, l’estensione a pagamento del popolare plugin di form Ninja Forms che permette di caricare file dai moduli del sito. Il codice CVE assegnato e’ CVE-2026-0740, il punteggio CVSS v3.1 e’ 9.8 su 10 (livello Critical) e il tipo di falla e’ fra i piu’ pericolosi che possano esistere in ambito WordPress: Remote Code Execution non autenticata. Significa che un aggressore, senza avere alcun account sul tuo sito, puo’ arrivare a eseguire codice PHP arbitrario sul server, prendere il controllo del sito e usarlo come base per attacchi laterali all’infrastruttura di hosting. Wordfence ha registrato oltre 3.600 tentativi di attacco bloccati in sole 24 ore e stima circa 50.000 siti a rischio sui domini che hanno installata la File Uploads extension nelle versioni fino alla 3.3.26 inclusa. La versione che risolve il problema e’ la 3.3.27, rilasciata il 19 marzo 2026, e non e’ piu’ sufficiente rimandare: la finestra di sfruttamento e’ ormai aperta e alcune campagne d’attacco automatiche stanno gia’ cercando target vulnerabili in tutto il mondo, Italia inclusa.
Come funziona la falla e perche’ e’ cosi’ pericolosa
Il problema tecnico e’ un errore classico di validazione dei file caricati, ma con un twist particolarmente insidioso. Ninja Forms File Uploads controlla il tipo di file basandosi sul nome originale del file sorgente, ovvero il nome che il browser dell’utente invia insieme al caricamento. Quello che pero’ l’estensione non controlla e’ il nome del file di destinazione, cioe’ il percorso finale in cui il file viene salvato sul server. Sfruttando questo scollamento, un attaccante puo’ manipolare il parametro di destinazione e riuscire a scrivere un file con estensione .php anche se la lista di estensioni consentite prevede solo tipologie apparentemente innocue come immagini, PDF o documenti Office. Il risultato pratico e’ che l’attaccante scrive una PHP webshell in una directory web-accessible del sito, la richiama con una banale richiesta HTTP e da quel momento in poi puo’ impartire comandi arbitrari al server WordPress con i permessi dell’utente web. In molti hosting condivisi italiani questo significa accesso in lettura e scrittura all’intera document root del sito, possibilita’ di iniettare backdoor persistenti nel database, di modificare file .htaccess per intercettare tutto il traffico, di installare skimmer JavaScript che rubano dati carte sui checkout WooCommerce e di usare il sito come piattaforma di phishing verso i tuoi stessi clienti.
La combinazione di quattro fattori rende CVE-2026-0740 particolarmente urgente per chi lavora in agenzia o gestisce un ecommerce. Primo: e’ non autenticata, quindi non serve alcun utente valido sul sito, basta trovare un form pubblico con l’upload attivo. Secondo: e’ facile da automatizzare, la richiesta di exploit e’ una POST HTTP con parametri standard, quindi i bot che scansionano il web di massa la stanno gia’ provando in parallelo su interi elenchi di domini WordPress. Terzo: il plugin Ninja Forms base ha oltre 800.000 installazioni attive, e sebbene l’estensione File Uploads sia un componente premium separato, e’ una delle add-on piu’ comprate perche’ risolve un’esigenza reale (accettare allegati nei form). Quarto: molti siti PMI e agenzie hanno l’auto-update disattivato per prudenza (paura di rompere qualche personalizzazione) e finiscono per rimanere su versioni obsolete per mesi.
Chi e’ colpito e come verificare in 5 minuti
La versione vulnerabile e’ Ninja Forms File Uploads fino alla 3.3.26. Se sul tuo sito o su quelli dei tuoi clienti hai Ninja Forms installato ma non hai la File Uploads extension attiva, sei fuori dal perimetro di questa specifica CVE (anche se e’ comunque saggio aggiornare il plugin base all’ultima release). Se invece hai File Uploads, la verifica si fa in un minuto dal backend WordPress: entra in Plugin > Plugin installati, cerca “Ninja Forms – File Uploads” nella lista e controlla la colonna versione. Qualsiasi numero inferiore a 3.3.27 va aggiornato prima di sera. Se hai piu’ siti in gestione ti consigliamo un giro rapido su tutti i backend, perche’ la File Uploads viene spesso attivata su singoli progetti (raccolta CV per il modulo Lavora con noi, richieste preventivo con capitolato PDF, form di reso per gli ecommerce) e ce ne si dimentica.
Un secondo controllo utile e’ cercare nei log del server tentativi sospetti sull’endpoint AJAX di upload. Le richieste malevole tipicamente contengono nomi di destinazione che terminano in .php, .phtml o altre estensioni eseguibili, e provengono da user agent generici o da IP appartenenti a range di scanner noti. Se trovi tracce di caricamenti riusciti verso file PHP devi trattare il sito come compromesso, non basta aggiornare: serve una pulizia completa (rimozione shell, scan malware su tutta la document root, reset password amministratore, invalidazione delle sessioni utente, verifica dei cron WordPress e degli hook mu-plugins). Nel dubbio, meglio un ripristino da backup pulito precedente al 19 marzo 2026, seguito dall’aggiornamento immediato dei plugin.
La lezione piu’ grande: i form non sono innocenti
Da inizio 2026 abbiamo raccontato una lunga serie di vulnerabilita’ critiche su plugin WordPress popolari, da Kirki a WPvivid, da Everest Forms Pro ad AIOS. Un pattern e’ evidente: i plugin che gestiscono upload di file o dati dagli utenti finali sono il vettore di attacco piu’ sfruttato del 2026. Nei form, nelle gallerie media, nei backup, negli import CSV di WooCommerce, ovunque venga scritto un file sul disco a partire da input non fidato, esiste una potenziale via di ingresso. Molte agenzie italiane trattano ancora i form come qualcosa di banale (un plugin da 30 secondi di configurazione), quando in realta’ andrebbero considerati alla stregua di endpoint pubblici esposti su Internet e trattati con la stessa attenzione che si darebbe a un servizio REST. Questo significa: manutenzione periodica, monitoraggio degli aggiornamenti, hardening del server (es. blocco esecuzione PHP nelle directory di upload) e piano di risposta agli incidenti definito prima e non durante l’emergenza.
Cosa significa per la tua agenzia o PMI
- Aggiorna Ninja Forms File Uploads alla 3.3.27 su tutti i siti gestiti entro oggi, senza aspettare la finestra di manutenzione del weekend: la vulnerabilita’ e’ gia’ sfruttata attivamente e ogni ora di ritardo aumenta la probabilita’ di compromissione.
- Blocca l’esecuzione PHP nelle directory di upload di WordPress aggiungendo una regola nel file
.htaccessdi/wp-content/uploads/che disabiliti l’handler PHP: e’ una barriera di difesa in profondita’ che neutralizza gran parte delle webshell anche in caso di plugin vulnerabili non ancora patchati. - Metti in checklist mensile la revisione della File Uploads extension e degli altri plugin di form (Contact Form 7, WPForms, Gravity Forms, Formidable) su tutti i clienti in manutenzione: e’ un servizio a valore che giustifica un canone di sicurezza e che ti evita di rincorrere emergenze come questa in modalita’ reattiva.
- Introduci un WAF applicativo come Wordfence Premium o Patchstack sui siti dei clienti PMI a Bergamo, Milano e Torino con volumi elevati o dati sensibili: le regole virtuali di patching bloccano lo sfruttamento delle CVE nella finestra fra la disclosure e l’aggiornamento effettivo del plugin.
- Comunica proattivamente ai clienti l’intervento fatto e il rischio evitato: un’email breve che spiega “abbiamo aggiornato il plugin X per proteggerti dalla vulnerabilita’ CVE-2026-0740” e’ l’occasione perfetta per giustificare il valore della manutenzione ordinaria e per rinforzare il rapporto di fiducia.
Fonte: Truesec – Critical Vulnerability in Ninja Forms File Upload WordPress Plugin CVE-2026-0740.
