WP2Shell è la vulnerabilità WordPress più grave degli ultimi anni. Pubblicata il 17 luglio 2026, permette di prendere il controllo completo di un sito senza avere un account: colpisce le versioni dalla 6.9.0 alla 6.9.4 e dalla 7.0.0 alla 7.0.1, con una SQL injection che tocca anche il ramo 6.8. L’exploit è stato sviluppato con l’aiuto di un’AI in circa dieci ore ed è già usato negli attacchi in rete. La protezione è una sola: aggiornare WordPress alla versione 7.0.2 (o alla 6.9.5), e verificare di non essere già stati compromessi. Qui sotto trovi versioni colpite, segnali di attacco e cosa fare, passo per passo.
WP2Shell: cos’è e chi ha scoperto la vulnerabilità WordPress
WP2Shell è il nome dato dai ricercatori di Searchlight Cyber a una catena di due vulnerabilità del core di WordPress, tracciate come CVE-2026-63030 e CVE-2026-60137. Combinate, permettono una esecuzione di codice remoto senza autenticazione: l’attaccante non ha bisogno di credenziali, di un plugin vulnerabile o di una configurazione sbagliata. Basta un’installazione WordPress standard in una delle versioni colpite.
Il dettaglio che ha fatto il giro del mondo però è un altro: i ricercatori hanno dichiarato che l’intera catena di exploit WordPress è stata trovata e sviluppata con l’aiuto di GPT-5.6 in circa dieci ore di lavoro, un compito che a un ricercatore umano avrebbe richiesto settimane. È il segnale di un cambio di epoca: l’AI ha abbattuto costi e tempi di sviluppo degli attacchi, e la finestra tra la scoperta di una falla e il suo sfruttamento di massa si è ristretta a ore.
Come funziona l’exploit WordPress di WP2Shell
Senza trasformare questo articolo in un manuale, il meccanismo in sintesi: l’attacco passa dall’endpoint batch della REST API di WordPress, presente e attivo di default su ogni installazione. Con due richieste costruite ad arte, l’attaccante sfrutta una SQL injection, si fa passare per un amministratore, crea un account admin tutto suo e carica un plugin malevolo con dentro una web shell. Da quel momento il sito è suo: contenuti, database, utenti, tutto.
Gli attacchi osservati in rete seguono esattamente questo copione, con scanner automatici che setacciano il web a tappeto in cerca di siti non aggiornati. Non serve essere un bersaglio interessante: basta essere vulnerabili.
Le versioni colpite e la patch WordPress 7.0.2
Le versioni vulnerabili alla catena completa sono WordPress dalla 6.9.0 alla 6.9.4 e dalla 7.0.0 alla 7.0.1. Le versioni dalla 6.8.0 alla 6.8.5 sono esposte alla sola SQL injection: meno grave, ma comunque seria. La correzione è arrivata il 17 luglio con WordPress 7.0.2, affiancata dalla 6.9.5 per chi resta sul ramo precedente.
Se non sai che versione stai usando, la trovi in Bacheca sotto Aggiornamenti. Qualsiasi numero sotto 6.9.5 o 7.0.2 significa una cosa sola: aggiornare WordPress adesso, non questo weekend.
WP2Shell sfruttata in rete: cosa è successo nelle prime 24 ore
I numeri raccolti dai ricercatori di Wiz raccontano la velocità di questa corsa. Il giorno della pubblicazione, il 60% delle organizzazioni monitorate aveva almeno un’istanza WordPress vulnerabile, e una su quattro la esponeva direttamente su internet. Ventiquattro ore dopo le percentuali erano già scese al 50% e al 10%: chi aveva un processo di aggiornamento è corso ai ripari in giornata. Gli altri sono ancora là fuori, e gli scanner li stanno cercando: il traffico di scansioni con le impronte di WP2Shell è in crescita da giorni.
La lettura tra le righe è la parte più importante: dopo una patch di sicurezza la differenza non la fa la fortuna, la fa la velocità di reazione.
Cosa fare adesso: aggiornare WordPress e controllare il sito
Tre passi, in quest’ordine:
- Aggiorna subito alla 7.0.2, o alla 6.9.5 se devi restare sul ramo 6.9. Prima fai un backup completo: aggiornare in fretta non significa aggiornare alla cieca.
- Cerca i segni di compromissione: utenti amministratori che non hai creato tu, plugin che non hai mai installato, file modificati di recente senza motivo. Se trovi qualcosa, l’aggiornamento da solo non basta: ho scritto una guida su come rimuovere un’infezione da WordPress.
- Riduci la superficie di attacco: accessi blindati e autenticazione a due fattori (qui la guida per proteggere l’accesso al sito WordPress), firewall applicativo e limitazione della REST API per gli utenti anonimi.
La lezione di WP2Shell: la manutenzione non è un extra
Il 17 luglio, a poche ore dal rilascio della patch, tutti i siti dei miei clienti in manutenzione erano già aggiornati alla versione corretta, questo sito compreso. Nessuno di loro ha dovuto pensarci, accorgersene o interrompere il proprio lavoro: è esattamente il servizio per cui esiste un piano di manutenzione WordPress continuativa.
E WP2Shell non sarà l’ultima: con l’AI che accorcia i tempi di sviluppo degli exploit, falle di questa portata arriveranno più spesso e verranno sfruttate più in fretta. Un sito senza un processo di aggiornamento costante non è un sito che risparmia: è un sito che corre un rischio che non controlla.
Domande frequenti su WP2Shell e l’aggiornamento di WordPress
Come faccio a sapere se il mio sito è vulnerabile a WP2Shell?
Controlla la versione di WordPress in Bacheca, alla voce Aggiornamenti. Se è inferiore alla 6.9.5 o alla 7.0.2 il sito è esposto. Alcuni hosting applicano gli aggiornamenti minori in automatico, quindi potresti essere già coperto: ma va verificato, non dato per scontato.
Il mio sito è su WordPress 6.8: sono al sicuro?
Non del tutto. Le versioni dalla 6.8.0 alla 6.8.5 non sono esposte alla catena completa di WP2Shell, ma restano vulnerabili alla SQL injection che ne fa parte. Conviene aggiornare comunque, e valutare il passaggio al ramo 7.0.
Come capisco se il sito è già stato compromesso?
I segnali tipici sono utenti amministratori che non hai creato tu, plugin che non hai mai installato, file modificati di recente senza motivo e traffico anomalo nei log. Attenzione: se il sito è già stato bucato, aggiornare WordPress chiude la falla ma non rimuove le backdoor già piazzate. Serve una pulizia vera e propria.
Ho gli aggiornamenti automatici attivi: sono coperto?
In teoria sì: le release minori di sicurezza come la 7.0.2 si installano da sole se gli aggiornamenti automatici non sono stati disattivati. In pratica molti siti li hanno spenti per paura di incompatibilità, o si affidano a configurazioni hosting che li ritardano. L’unico modo per saperlo è controllare il numero di versione.
Non ho tempo o competenze per gestire aggiornamenti e controlli: che faccio?
È il caso tipico in cui conviene un piano di manutenzione professionale: aggiornamenti applicati appena escono, backup testati, monitoraggio del sito e un referente da chiamare quando qualcosa non torna. Il costo di un anno di manutenzione è quasi sempre inferiore a quello di un singolo ripristino dopo un attacco.
Il tuo WordPress è ancora su una versione vulnerabile?
I siti in manutenzione con me erano al sicuro il giorno stesso della patch. Chiamami al +39 329 627 7257 o scrivimi: controlliamo insieme versione e stato del tuo sito.
ScrivimiCondividi
