Attacco hacker a WordPress: nel mirino due plugin
Super Forms ed Elementor Pro presentano falle critiche che permettono di caricare codice PHP sul server e possono consegnare agli aggressori il controllo completo dei siti vulnerabili
Una nuova ondata di attacchi informatici mette sotto pressione numerosi siti realizzati con WordPress. Gli aggressori stanno sfruttando due vulnerabilità critiche presenti nei plugin Super Forms ed Elementor Pro e hanno già generato oltre 440mila tentativi di exploit. Le due falle riguardano la gestione dei file caricati attraverso i moduli e permettono, in determinate condizioni, di inserire file PHP direttamente sul server. Il problema assume una particolare gravità perché un attacco riuscito non si limita a compromettere una singola funzione del sito: l’accesso può consentire l’esecuzione di codice arbitrario e aprire la strada al controllo dell’intera installazione WordPress.
Gli attacchi hanno seguito campagne distinte ma accomunate dallo stesso obiettivo. I sistemi di sicurezza hanno intercettato più di 250mila richieste rivolte alla vulnerabilità di Super Forms e oltre 190mila tentativi contro Elementor Pro. La prima attività ostile ha iniziato a manifestarsi il 14 luglio, mentre il 18 agosto gli attacchi contro Super Forms hanno superato quota 40mila richieste in una sola giornata. La campagna contro Elementor Pro è invece comparsa il 19 agosto. La quantità di richieste dimostra che gli aggressori stanno cercando in modo sistematico siti che utilizzano versioni vulnerabili dei plugin.
Super Forms può trasformare un modulo in una porta d’ingresso
La vulnerabilità identificata come CVE-2026-14894 interessa Super Forms e sfrutta una debolezza nella gestione dei caricamenti effettuati attraverso i moduli. Un aggressore può inviare una richiesta appositamente costruita all’installazione WordPress e inserire nel campo dedicato ai file un contenuto PHP codificato. Il file può presentarsi come un’immagine durante alcuni controlli, mentre mantiene un’estensione PHP capace di consentire l’esecuzione del codice sul server.
Durante gli attacchi è comparso anche un file denominato Mushr00w_upl.php, utilizzato come web shell. Questo tipo di strumento offre all’attaccante una forma di accesso clandestino al server e può permettere il caricamento di ulteriori file. Una volta superata la prima barriera, l’aggressore può quindi ampliare la compromissione ben oltre il singolo modulo vulnerabile, intervenendo sui contenuti del sito e sulle altre risorse disponibili all’interno dell’installazione.
La vulnerabilità diventa particolarmente pericolosa perché non richiede necessariamente un account privilegiato per avviare il tentativo di attacco. L’aggressore può preparare una richiesta malevola e indirizzarla verso il componente vulnerabile, cercando automaticamente siti esposti. Questo approccio consente di colpire un numero elevato di installazioni senza dover individuare manualmente ogni singolo obiettivo.
Elementor Pro presenta una seconda falla critica
Una situazione simile riguarda la vulnerabilità CVE-2026-32475 presente in Elementor Pro. In questo caso l’attacco richiede una configurazione specifica del sito: deve esistere almeno una pagina pubblicata con un Form widget di Elementor e un campo File Upload. Gli aggressori sfruttano proprio questa funzione per costruire una richiesta manipolata e introdurre un payload PHP all’interno della directory utilizzata dal plugin per la gestione dei moduli.
La tecnica sfrutta una struttura particolare del campo di caricamento. L’attaccante invia il valore come array e inserisce il contenuto malevolo nella seconda posizione, lasciando vuota la prima. Questa costruzione consente di aggirare i controlli previsti durante la validazione del file. Il payload può così raggiungere la directory /wp-content/uploads/elementor/forms/ mantenendo un’estensione utilizzabile per l’esecuzione del codice.
Il rischio non riguarda soltanto la modifica estetica di una pagina. Un aggressore che riesce a eseguire codice sul server può creare nuovi account amministrativi, alterare i contenuti pubblicati, sottrarre informazioni oppure utilizzare il sito compromesso per attività criminali. Un normale sito WordPress può inoltre diventare uno strumento per distribuire malware, effettuare reindirizzamenti indesiderati o ospitare pagine di phishing.
Aggiornare non basta se il sito è già compromesso
Gli amministratori che utilizzano Super Forms o Elementor Pro devono controllare immediatamente le versioni installate e applicare gli aggiornamenti di sicurezza disponibili. Disattivare temporaneamente una funzione non rappresenta una soluzione sufficiente quando il plugin vulnerabile rimane installato in una versione esposta. La priorità consiste nel chiudere la vulnerabilità e verificare contemporaneamente che gli aggressori non abbiano già lasciato componenti malevoli sul server.
Dopo l’aggiornamento, occorre controllare con attenzione gli account amministrativi, analizzare i log delle richieste e verificare le directory dedicate ai caricamenti. File PHP sconosciuti, script comparsi recentemente, modifiche inattese ai contenuti o nuovi utenti con privilegi elevati possono indicare una precedente intrusione. Anche comportamenti insoliti, reindirizzamenti improvvisi e pagine di spam meritano un controllo approfondito.
Quando l’analisi evidenzia una compromissione già avvenuta, l’aggiornamento del plugin non elimina automaticamente le conseguenze dell’attacco. Un aggressore potrebbe infatti aver installato altri file o creato meccanismi per mantenere l’accesso anche dopo la correzione della vulnerabilità. In questi casi diventa importante individuare ogni elemento estraneo e, quando necessario, procedere con il ripristino utilizzando un backup verificato come pulito.
La nuova campagna conferma ancora una volta quanto la sicurezza dei plugin rappresenti un elemento fondamentale per qualsiasi amministratore WordPress. I moduli che permettono agli utenti di caricare file offrono funzionalità utili, ma richiedono controlli rigorosi sul contenuto ricevuto e sulle estensioni consentite. Le oltre 440mila richieste ostili osservate contro Super Forms ed Elementor Pro mostrano quanto rapidamente una vulnerabilità possa trasformarsi in un problema su larga scala.
La vicenda offre quindi un’indicazione precisa a chi gestisce un sito WordPress: mantenere aggiornati CMS, temi e plugin non rappresenta soltanto una buona pratica, ma costituisce una delle principali difese contro campagne automatizzate di questo tipo. Quando una falla permette di caricare ed eseguire codice sul server, ogni ritardo può aumentare le possibilità che un semplice tentativo di exploit diventi una compromissione completa.
A cura di Nora Taylor
Leggi anche: Fisco, nuove lettere in arrivo per autonomi e imprese
Seguici su Facebook e Instagram!
