CVE-2026-0740, CVSS 9.8: vulnerabilita’ critica in Ninja Forms File Uploads permette RCE non autenticata su 50.000 siti WordPress. Gia’ sfruttata attivamente da bot automatici. Aggiorna alla 3.3.27 subito, blocca l’esecuzione PHP negli upload e comunica ai clienti.
Una vulnerabilità critica identificata come CVE-2026-8206 ha colpito il plugin Kirki Freeform Page Builder, uno dei framework di personalizzazione più diffusi nell’ecosistema WordPress. Secondo le rilevazioni pubblicate a inizio luglio 2026 da Wordfence e Orca Security, la falla consente a un attaccante non autenticato di ottenere il controllo completo del pannello di amministrazione, con la […]
CVE-2026-1357: RCE critica non autenticata su WPvivid Backup, oltre 900.000 siti WordPress esposti. Patch 0.9.108 disponibile, exploit gia’ attivi in scansioni di massa.
All’inizio di luglio 2026 i ricercatori di sicurezza hanno documentato una campagna sofisticata di backdoor che colpisce la directory /wp-content/mu-plugins/ dei siti WordPress. Le must-use plugin, note come MU-plugins, sono un meccanismo nativo del CMS pensato per attivare codice a livello di installazione: a differenza dei plugin standard, non richiedono attivazione, non compaiono nella lista […]
CVE-2026-3300 (CVSS 9.8) consente RCE non autenticato su Everest Forms Pro <=1.9.12 via eval injection nel Calculation Addon. Wordfence ha rilevato oltre 29.000 tentativi di exploit. Patch in 1.9.13.
Il plugin di sicurezza AIOS ha una vulnerabilità XSS critica (CVE-2026-8438) che colpisce versioni fino alla 5.4.7. La patch è la 5.4.8: cosa controllare oggi sui siti dei clienti.
CVE-2026-8206 colpisce Kirki, plugin WordPress installato su oltre 500.000 siti: punteggio CVSS 9.8, exploit gia’ in corso. Guida operativa per agenzie e PMI italiane.
Una vulnerabilità critica nel plugin Avada Builder, con CVSS 9.1 e tracciata come CVE-2026-8713, ha messo a rischio circa un milione di siti WordPress fino al rilascio della versione 3.15.4 il 2 giugno 2026. Il difetto, segnalato dai ricercatori di Wordfence, permette a un attaccante non autenticato di cancellare file arbitrari sul server fino a […]
