Un nuovo capitolo del thriller quotidiano chiamato sicurezza web si apre con due nomi: Avada Builder e FunnelKit. Secondo BleepingComputer e Matrice Digitale, entrambi i plugin WordPress — il primo installato su oltre un milione di siti — sono affetti da vulnerabilità critiche che permettono a un attaccante non autenticato di leggere file arbitrari e estrarre dati dal database. Il tempo tra la pubblicazione dell'explo e il primo attacco automatizzato? Ventinove minuti. Non giorni. Non ore. Ventinove minuti.

Il meccanismo dell'attacco

Le vulnerabilità, tecnicamente classificate come arbitrary file read e informazioni esposte attraverso endpoint non protetti, colpiscono funzionalità core dei plugin. In Avada Builder, un endpoint AJAX mal configurato (fusion_builder_load_template) permette a chiunque di richiedere file di sistema, inclusi wp-config.php, dove sono memorizzate le credenziali di database. Il risultato è un dump completo delle credenziali di accesso al backend, sufficiente per prendere il controllo del sito. Il plugin FunnelKit, utilizzato per la creazione di funnel di vendita, presenta un difetto simile in un altro endpoint, esponendo dati sensibili come chiavi API e informazioni di transazione.

Non si tratta di errori di configurazione da parte degli amministratori, ma di difetti di progettazione nel codice. E non sono zero-day sconosciuti: le patch sono disponibili da giorni. Tuttavia, la diffusione massiva dei plugin e la lentezza tipica degli aggiornamenti nel mondo WordPress trasformano un problema tecnico in un'emergenza collettiva.

Un milione di siti non sono un errore di battitura

Avada Builder, parte del tema Avada — il tema WordPress più venduto di sempre — ha un'installazione attiva stimata in oltre 1 milione di siti. FunnelKit, pur meno diffuso, conta decine di migliaia di installazioni, molte delle quali su e-commerce ad alto valore. La combinazione di accesso diretto a file critici e la facilità di sfruttamento rende queste falle un bersaglio perfetto per bot automatizzati. Dati di Shodan e Censys mostrano già migliaia di siti esposti con versioni vulnerabili, e i primi attacchi mirati sono stati registrati entro poche ore dalla divulgazione.

Il problema non è nuovo. Il Verizon Data Breach Investigations Report 2025 conferma ancora una volta che il 60% degli attacchi a siti web sfrutta vulnerabilità in componenti di terze parti, non in codice proprietario. I plugin sono il tallone d'Achille del web moderno: aggiunti per funzionalità, ma raramente monitorati per sicurezza. E quando un plugin come Avada Builder è integrato in un tema premium, spesso viene aggiornato solo in occasione di aggiornamenti complessivi del sito — se mai.

Il tempo è un lusso che non c'è

Ventinue minuti. È il tempo medio tra la pubblicazione di un exploit su GitHub e il primo attacco massivo rilevato da firewall specializzati. In questo intervallo, migliaia di siti vengono scannerizzati, compromessi, e a volte usati come ponte per attacchi più ampi. Un WAF (Web Application Firewall) può mitigare il rischio, ma solo se configurato correttamente e aggiornato in tempo reale. Soluzioni basate su firma non bastano: servono regole attive contro pattern di exploit noti, come quelli per CVE-2025-32642 (Avada) e CVE-2025-41087 (FunnelKit).

La lezione non è solo tecnica, ma organizzativa. Avere un ciclo di audit dei plugin ogni 14 giorni non è una best practice: è un requisito minimo di sopravvivenza. Così come test di sicurezza con copertura del 95% sul codice personalizzato non sono un obiettivo ambizioso, ma un punto di partenza. Il modello di sicurezza basato sul ritardo — aspettare il weekend, il mese prossimo, il rinnovo del contratto — è obsoleto. Oggi, la sicurezza è una questione di cicli operativi misurati in minuti, non in mesi.

Il messaggio è semplice: se gestisci un sito WordPress, non importa se è un blog o un e-commerce da milioni di euro. Se hai Avada Builder o FunnelKit, aggiorna ora. Non dopo il caffè. Non dopo la riunione. Ora.