WordPress sotto attacco: cos'è “wp2shell” e perché devi verificare subito il tuo sito

Se gestisci un sito WordPress per la tua attività, negli ultimi giorni potresti aver sentito parlare di wp2shell: una falla di sicurezza critica che sta mettendo a rischio milioni di siti in tutto il mondo, Italia compresa. Non è l’ennesimo allarme tecnico da ignorare: si tratta di una vulnerabilità che consente a un attaccante di prendere il controllo completo di un sito WordPress senza bisogno di username, password o account.

In questo articolo spieghiamo, in parole semplici, cosa è successo, quali versioni di WordPress sono coinvolte, quali sono i rischi concreti per un’azienda e come verificare subito se il tuo sito è esposto.

Cos'è successo: la vulnerabilità wp2shell

Il 17 luglio 2026 il team di sicurezza di WordPress ha rilasciato in via d’emergenza la versione 7.0.2 del CMS, insieme alle patch per i rami precedenti (6.9.5 e 6.8.6). L’aggiornamento chiude una catena di due vulnerabilità distinte che, se sfruttate insieme, permettono un attacco battezzato dalla community di sicurezza “wp2shell”.

Le due falle sono:

• CVE-2026-60137: una vulnerabilità di SQL injection nel componente centrale WP_Query, causata da una stringa non filtrata nel parametro author__not_in. Punteggio di gravità CVSS 9.0 su 10.
• CVE-2026-63030: un bug di “confusione di route” nell’endpoint batch della REST API (/wp-json/batch/v1), che permette a WordPress di validare una richiesta secondo uno schema ma di eseguirla con un gestore diverso, aggirando così i normali controlli di autenticazione.

Prese singolarmente, nessuna delle due porta all’esecuzione di codice. Combinate, però, aprono un percorso diretto che va dall’accesso anonimo alla piena esecuzione di codice sul server (RCE, Remote Code Execution) — senza che l’attaccante debba autenticarsi in alcun modo.

Chi è a rischio

Sono interessate le installazioni WordPress comprese tra le versioni:

• 6.9.0 – 6.9.4
• 7.0.0 – 7.0.1
• 6.8.x (limitatamente alla sola componente di SQL injection)

Le versioni corrette, in cui le falle sono state chiuse, sono 6.8.6, 6.9.5 e 7.0.2. Data la gravità, WordPress ha attivato per queste versioni gli aggiornamenti automatici forzati lato server, ma questo non basta a considerarsi al sicuro in automatico: un aggiornamento in background può fallire, e in ogni caso la patch chiude solo la porta d’ingresso, senza rimuovere eventuali tracce di un attacco già avvenuto prima dell’installazione.

Perché è più pericolosa di una normale vulnerabilità

Tre fattori rendono wp2shell particolarmente critica:

1. Nessuna autenticazione richiesta. L’attacco funziona anche contro un sito con un solo amministratore e password robuste: non serve rubare credenziali.
2. Riguarda il core, non i plugin. Non dipende da temi o plugin di terze parti installati: colpisce l’installazione base di WordPress, quindi qualsiasi sito nel range di versioni vulnerabili è esposto.
3. È automatizzabile. Un attacco di questo tipo può essere eseguito su larga scala da bot che scansionano il web alla ricerca di siti non aggiornati, rendendolo appetibile anche per campagne di massa e non solo per attacchi mirati.

Le conseguenze concrete di una compromissione possono includere: creazione di account amministratore fasulli, upload di file PHP malevoli (backdoor persistenti), modifica o furto di contenuti e dati sensibili, reindirizzamenti non autorizzati verso siti di phishing o malware, e danni reputazionali difficili da quantificare per un’azienda che lavora online.

Come verificare subito la versione di WordPress del tuo sito

Prima di tutto, è importante capire se il tuo sito rientra nel range di versioni vulnerabili. Ecco come controllarlo in pochi passaggi:

1. Dal pannello di amministrazione: accedi alla tua dashboard WordPress e vai su Bacheca → Aggiornamenti (o Dashboard → Updates). In alto viene indicata la versione attualmente installata.
2. Dalla sezione “Info sul sito”: in alternativa, vai su Bacheca → Home oppure su Strumenti → Salute del sito → Informazioni, dove è riportata la versione core di WordPress.
3. Senza accedere al pannello: puoi anche verificare da fonte esterna, visitando l’indirizzo iltuosito.it/feed/ (il numero di versione compare talvolta nel codice del feed) oppure chiedendo a chi gestisce tecnicamente l’hosting del tuo sito di comunicartela.

Se la versione rilevata rientra tra 6.8.0–6.8.5, 6.9.0–6.9.4 oppure 7.0.0–7.0.1, il tuo sito è esposto alla vulnerabilità wp2shell e va messo in sicurezza al più presto.

Va sottolineato che il solo aggiornamento del core, se eseguito senza le dovute verifiche collaterali (backup, compatibilità di plugin e tema, controllo di eventuali accessi anomali già avvenuti), può non essere sufficiente a garantire la piena sicurezza del sito: per questo genere di interventi consigliamo sempre di affidarsi a un supporto tecnico specializzato, soprattutto per siti aziendali o e-commerce.

Interdigitale ha già messo in sicurezza tutti i siti dei propri clienti

Per tutti i clienti che si affidano a Interdigitale per la gestione e manutenzione dei propri siti WordPress, l’aggiornamento a WordPress 7.0.2 (o alla release corretta corrispondente) è già stato completato, insieme ai controlli di verifica su utenti amministratori, plugin attivi e integrità dei file. Non è richiesta alcuna azione da parte vostra: il vostro sito è già protetto da questa vulnerabilità.

Se invece il tuo sito WordPress non è gestito da Interdigitale e vuoi avere la certezza che sia al sicuro da wp2shell — o semplicemente vuoi affidare la manutenzione del tuo sito a chi monitora questo genere di emergenze in tempo reale — contattaci: verifichiamo gratuitamente la versione installata e, se necessario, procediamo subito con la messa in sicurezza.

Domande frequenti

WordPress 7.0.2 risolve completamente il problema wp2shell?

Sì, l’aggiornamento a 7.0.2 (o 6.9.5 / 6.8.6 a seconda del ramo utilizzato) chiude entrambe le vulnerabilità alla base dell’attacco. Non elimina però eventuali effetti di un attacco già avvenuto prima dell’installazione: per questo è importante anche un controllo di sicurezza successivo.

Il mio sito è già stato compromesso solo perché usa una versione vulnerabile?

No, essere su una versione vulnerabile non significa automaticamente essere stati attaccati. Significa però essere esposti, ed è per questo che la raccomandazione è verificare al più presto la propria versione, senza aspettare segnali evidenti di problema.

Gli aggiornamenti automatici di WordPress bastano da soli?

WordPress ha attivato l’aggiornamento forzato per i siti vulnerabili, ma un update automatico può comunque fallire per motivi di hosting, permessi o conflitti con plugin. Per questo è comunque importante verificare manualmente la versione installata, come indicato in questo articolo.

Quali versioni di WordPress non sono interessate dalla falla?

Le versioni precedenti alla serie 6.8 non risultano coinvolte da CVE-2026-63030, mentre l’SQL injection di CVE-2026-60137 riguarda anche la serie 6.8.x. In ogni caso, mantenere un sito su versioni molto datate espone ad altri rischi noti e non più coperti da patch di sicurezza.

Come faccio a sapere se il mio sito WordPress è a rischio in questo momento?

Il modo più rapido è far verificare la versione core, i plugin attivi e i log di accesso da chi gestisce tecnicamente il sito. Se non hai un supporto tecnico dedicato, Interdigitale offre una verifica gratuita per capire subito il livello di esposizione del tuo sito.