Non vogliamo spaventarti, ma non vogliamo neanche girarci troppo attorno: il 17 luglio 2026 è stata scoperta una delle vulnerabilità più serie che abbiano interessato WordPress negli ultimi anni.
Si chiama WP2Shell e, poco dopo la pubblicazione degli aggiornamenti di sicurezza, diversi ricercatori hanno cominciato a rilevare tentativi reali di sfruttamento contro i siti che non erano ancora stati aggiornati. La situazione merita attenzione, ma la buona notizia è che esiste già una soluzione e che, sui sistemi che gestiamo, siamo intervenuti subito.
Prima di tutto: se il tuo sito è con noi, puoi stare tranquillo
Se il tuo sito è ospitato sull’hosting Isola oppure è coperto da un nostro accordo di manutenzione, abbiamo già applicato gli aggiornamenti e le misure di protezione necessarie.
Abbiamo verificato le versioni di WordPress installate, aggiornato i sistemi interessati e rafforzato il monitoraggio delle richieste sospette. Continueremo a seguire l’evolversi della situazione e interverremo nuovamente qualora emergessero nuove informazioni.
In altre parole: non devi correre ad aggiornare qualcosa, installare plugin a caso o cercare soluzioni trovate in qualche forum. Ce ne stiamo occupando noi.
Che cos’è WP2Shell
WP2Shell è il nome dato a una catena composta da due vulnerabilità del core di WordPress, identificate come CVE-2026-60137 e CVE-2026-63030.
La distinzione è importante: non stiamo parlando del solito problema causato da un plugin poco aggiornato, da un tema abbandonato o da una password troppo semplice. Le falle si trovano direttamente nel software principale di WordPress e possono essere sfruttate anche su un’installazione standard, senza plugin vulnerabili e senza che l’aggressore debba prima effettuare l’accesso.
Se utilizzate insieme, le due vulnerabilità possono consentire a un attaccante di ottenere privilegi amministrativi e arrivare all’esecuzione di codice sul server. In termini meno tecnici, significa che un sito non aggiornato potrebbe essere modificato, utilizzato per installare una backdoor, reindirizzare i visitatori o compiere altre attività dannose.
Quali versioni sono coinvolte
Le versioni maggiormente interessate dalla catena completa WP2Shell sono:
- WordPress dalla versione 6.9.0 alla 6.9.4;
- WordPress 7.0.0 e 7.0.1.
Gli aggiornamenti correttivi sono WordPress 6.9.5 e 7.0.2.
Anche WordPress dalla versione 6.8.0 alla 6.8.5 presenta una delle due vulnerabilità, una SQL injection, ma non risulta esposto alla catena completa di esecuzione remota. Per questa linea è stata pubblicata la versione corretta 6.8.6. Le versioni precedenti alla 6.8 non sono interessate da queste specifiche falle.
Il 17 luglio 2026 il team di WordPress ha classificato i problemi come uno critico e uno ad alta gravità, raccomandando l’aggiornamento immediato. Vista la serietà della situazione, WordPress ha anche attivato gli aggiornamenti automatici forzati sui siti compatibili. Questo aiuta molto, ma non significa che tutti i siti siano stati aggiornati correttamente: configurazioni particolari, permessi errati o aggiornamenti automatici disattivati possono impedire l’installazione della correzione.
Gli attacchi sono davvero in corso?
Sì, ma è più corretto parlare di numerose attività di scansione e sfruttamento condotte da soggetti diversi, non necessariamente di un unico grande attacco coordinato.
Wordfence ha rilevato i primi tentativi compatibili con lo sfruttamento delle vulnerabilità già nelle ore successive alla pubblicazione degli aggiornamenti. Wiz ha successivamente documentato compromissioni riuscite, installazione di plugin malevoli, accessi ai pannelli amministrativi e caricamento di webshell, cioè strumenti che permettono agli aggressori di mantenere il controllo del server.
Il 21 luglio anche la CISA, l’agenzia statunitense per la sicurezza informatica, ha inserito entrambe le vulnerabilità nel catalogo delle falle già sfruttate attivamente. È un’ulteriore conferma del fatto che non si tratta soltanto di un rischio teorico.
La rapidità con cui sono iniziati i tentativi di attacco non è sorprendente. Dopo la pubblicazione di un aggiornamento, ricercatori e criminali informatici possono confrontare il vecchio codice con quello corretto e ricostruire il funzionamento della vulnerabilità. Per questo, nel campo della sicurezza, le ore immediatamente successive a una comunicazione pubblica sono spesso le più delicate.
Perché il problema è così esteso
WordPress continua a essere utilizzato da una parte enorme del web. Secondo le rilevazioni di W3Techs aggiornate al 22 luglio 2026, è presente su circa il 41% dei siti analizzati e rappresenta quasi il 60% del mercato dei sistemi di gestione dei contenuti.
Quando una vulnerabilità riguarda il core di una piattaforma così diffusa, la superficie potenzialmente esposta diventa molto ampia. Allo stesso tempo, l’elevata diffusione di WordPress significa anche che esiste una comunità internazionale di sviluppatori, ricercatori, hosting provider e aziende di sicurezza pronta a collaborare e reagire rapidamente.
In questo caso, le vulnerabilità sono state segnalate responsabilmente al team di WordPress prima della loro divulgazione pubblica. Le versioni corrette erano quindi già disponibili nel momento in cui il problema è diventato noto.
E l’intelligenza artificiale cosa c’entra?
Qui la storia diventa particolarmente interessante.
Il ricercatore che ha scoperto WP2Shell ha raccontato di aver utilizzato un avanzato modello di OpenAI come supporto nell’analisi del codice e nella ricerca della vulnerabilità. In questo caso, quindi, l’intelligenza artificiale è stata uno strumento di difesa: ha aiutato un esperto a individuare un problema e a comunicarlo in modo responsabile prima che venisse reso pubblico.
Questo non significa che l’IA non possa essere usata anche per attività dannose. OpenAI e Anthropic hanno pubblicato diversi rapporti nei quali descrivono tentativi di utilizzo dei propri sistemi per operazioni di phishing, sviluppo di malware, ricerca di vulnerabilità e altre attività ostili. Entrambe le aziende dichiarano di aver individuato e bloccato account coinvolti in abusi.
La questione, però, non può essere ridotta a “l’intelligenza artificiale è pericolosa”. I modelli non hanno inventato gli attacchi informatici e non sostituiscono automaticamente le competenze di un professionista. Possono però accelerare alcune operazioni, automatizzare attività ripetitive e rendere determinati strumenti più accessibili.
Questo vale per chi attacca, ma anche per chi difende.
L’intelligenza artificiale può aiutare a esaminare grandi quantità di codice, riconoscere anomalie, analizzare log, individuare vulnerabilità e reagire più rapidamente agli incidenti. La vera sfida non è evitare la tecnologia, ma utilizzarla con responsabilità, competenza e adeguati sistemi di controllo.
Cosa deve fare chi gestisce autonomamente un sito WordPress
Chi non dispone di un servizio di hosting gestito o di un accordo di manutenzione dovrebbe controllare immediatamente la versione installata.
Non basta presumere che l’aggiornamento automatico sia avvenuto: bisogna verificarlo nella bacheca di WordPress. Le versioni corrette sono 6.8.6, 6.9.5 e 7.0.2, a seconda della linea utilizzata.
Dopo l’aggiornamento è consigliabile controllare anche:
- la presenza di utenti amministratori sconosciuti;
- plugin installati o modificati di recente;
- file PHP creati o alterati senza una ragione apparente;
- accessi insoliti e richieste sospette verso le API REST;
- il corretto funzionamento dei backup.
Un firewall applicativo può ridurre il rischio e bloccare alcuni tentativi, ma non sostituisce l’aggiornamento del core. Se esiste il sospetto che il sito sia già stato compromesso, aggiornare WordPress non è sufficiente: occorre svolgere un controllo completo, cambiare le credenziali e verificare l’integrità dei file e del database.
Niente panico, ma niente improvvisazione
WP2Shell è un problema serio. Minimizzarlo sarebbe scorretto, così come sarebbe scorretto descriverlo come la fine di WordPress o come un attacco inevitabile contro ogni sito.
La correzione esiste ed è già disponibile. Il rischio riguarda soprattutto i sistemi rimasti su versioni vulnerabili o quelli che potrebbero essere stati raggiunti dagli aggressori prima dell’aggiornamento.
È proprio in situazioni come questa che si vede la differenza tra avere semplicemente un sito online e avere un sito seguito, aggiornato e monitorato nel tempo.
Se il tuo sito è sull’hosting Isola o è coperto dal nostro servizio di manutenzione, abbiamo già adottato le contromisure necessarie e continuiamo a monitorare la situazione.
Puoi continuare a lavorare senza preoccuparti.
Ci siamo noi.
