WordPress è una delle piattaforme più utilizzate per la realizzazione e la gestione dei siti web. Anche numerosi portali della Pubblica Amministrazione si basano su questo CMS, spesso integrato con plugin, temi e componenti sviluppati da terze parti.

La maggior parte delle vulnerabilità che interessa i siti WordPress viene normalmente individuata proprio in questi componenti aggiuntivi. Sono invece meno frequenti le vulnerabilità presenti direttamente nel core della piattaforma. Per questo motivo, la recente pubblicazione di due falle che possono essere combinate per compromettere un sito WordPress richiede particolare attenzione da parte degli amministratori.

Le vulnerabilità, note come wp2shell, sono identificate con i seguenti CVE:

• CVE-2026-60137, una vulnerabilità di tipo SQL injection;
• CVE-2026-63030, un errore nella gestione delle richieste batch della REST API di WordPress.

La combinazione delle due vulnerabilità può consentire a un attaccante non autenticato di accedere a funzionalità normalmente non disponibili agli utenti anonimi e di sfruttare la SQL injection presente nel core.

L’attacco può portare all’accesso non autorizzato ai dati, alla compromissione degli account amministrativi e, in determinate condizioni, all’installazione di web shell o di altro codice malevolo sul sistema.

Un elemento particolarmente rilevante è che la vulnerabilità interessa direttamente WordPress e non richiede la presenza di uno specifico plugin vulnerabile.

Versioni interessate

La catena di attacco che può portare all’esecuzione di codice remoto interessa:

• WordPress dalla versione 6.9.0 alla 6.9.4;
• WordPress dalla versione 7.0.0 alla 7.0.1.

Le versioni dalla 6.8.0 alla 6.8.5 sono interessate dalla vulnerabilità SQL injection CVE-2026-60137, ma non dall’intera catena di attacco descritta come wp2shell.

Versioni corrette

Le vulnerabilità sono state corrette nelle seguenti versioni:

• WordPress 6.8.6;
• WordPress 6.9.5;
• WordPress 7.0.2.

Il CERT-AGID invita le PA a verificare la versione effettivamente installata e ad applicare tempestivamente gli aggiornamenti di sicurezza disponibili.

Verifiche consigliate

Oltre all’aggiornamento, è opportuno controllare che il sistema non presenti segnali di compromissione, in particolare:

• richieste anomale verso gli endpoint /wp-json/batch/v1 e ?rest_route=/batch/v1;
• creazione di nuovi account amministrativi;
• modifiche inattese ai file del sito;
• installazione di plugin o temi sconosciuti;
• presenza di web shell o file PHP non riconducibili all’installazione;
• accessi o operazioni anomale sul database;
• modifiche alle configurazioni e alle credenziali del sito.

In presenza di elementi sospetti, il solo aggiornamento potrebbe non essere sufficiente. È necessario isolare il sistema, conservare le evidenze utili alle analisi e verificare l’eventuale compromissione di credenziali, token e altri segreti accessibili dal portale.

Qualora non sia possibile procedere immediatamente con l’aggiornamento, è possibile valutare il blocco temporaneo dell’accesso anonimo agli endpoint batch della REST API (/wp-json/batch/v1 e ?rest_route=/batch/v1) tramite WAF o configurazione del web server.

Questa misura può tuttavia interferire con funzionalità legittime e deve essere considerata esclusivamente una mitigazione temporanea, non un’alternativa all’installazione delle versioni corrette.

• Verifica se il tuo CMS WordPress è vulnerabile: https://wp2shell.com/
• Ultima release WordPress: https://wordpress.org/news/2026/07/wordpress-7-0-2-release/