Introduzione
La scoperta di una vulnerabilità di esecuzione di codice remoto (RCE) nella versione core di WordPress, denominata CVE-2026-63030 e CVE-2026-60137, ha messo in allarme la comunità dei sviluppatori e degli amministratori di sistema. Questa vulnerabilità, conosciuta come wp2shell, consente a un attaccante anonimo di eseguire codice su una installazione standard di WordPress.
La portata del problema
Il problema non è limitato a WordPress, ma è il sintomo di una più ampia questione di governance delle patch. Secondo il rapporto ENISA Threat Landscape 2025, sono stati pubblicati 42.595 nuovi CVE tra luglio 2024 e giugno 2025, con un aumento del 27% rispetto all'anno precedente. Questo aumento esponenziale delle vulnerabilità sottolinea la necessità di un'efficace gestione delle patch e di una strategia di sicurezza proattiva.
La matematica difensiva
Per mitigare la vulnerabilità wp2shell, è necessario aggiornare WordPress alla versione 7.0.2 o successiva entro 14 giorni. Inoltre, è fondamentale rivedere la postura di sicurezza delle applicazioni web per prevenire exploit simili, con l'obiettivo di ridurre l'esposizione alle vulnerabilità del 90%. Infine, è essenziale implementare un processo di gestione delle vulnerabilità per ridurre la finestra di tempo medio tra la pubblicazione di una patch e la sua applicazione a meno di 30 giorni.
Conclusioni
La scoperta della vulnerabilità wp2shell nella versione core di WordPress è un promemoria importante della necessità di un'efficace gestione delle patch e di una strategia di sicurezza proattiva. È fondamentale che gli amministratori di sistema e i sviluppatori prendano misure immediate per proteggere i loro siti web e le loro applicazioni da questo tipo di vulnerabilità.