A poche settimane dalla pubblicazione delle vulnerabilità note come wp2shell, una nuova falla interessa direttamente il core di WordPress. La vulnerabilità, denominata XSS2Shell e identificata come CVE-2026-64638, è di tipo Cross-Site Scripting (XSS) e interessa la pagina di autenticazione di WordPress, è classificata con severità High e punteggio CVSS 8.9.

Come già evidenziato in occasione di wp2shell, WordPress è una delle piattaforme più utilizzate per la realizzazione e la gestione dei siti web. Anche numerosi portali della Pubblica Amministrazione si basano su questo CMS e la presenza di una nuova vulnerabilità direttamente nel core della piattaforma richiede quindi particolare attenzione da parte degli amministratori.

Vulnerabilità reflected XSS pre-authentication

Il problema deriva da una differente interpretazione dei dati forniti dall’utente durante le operazioni di sanitizzazione. In determinate condizioni, un valore opportunamente predisposto e utilizzato come nome utente può superare i controlli previsti ed essere successivamente interpretato dal browser come contenuto HTML.

Sfruttando questa condizione insieme ad alcune funzionalità JavaScript già presenti nella pagina di autenticazione, un attaccante può ottenere l’esecuzione di codice JavaScript nel contesto del dominio WordPress senza disporre preventivamente di credenziali valide.

I ricercatori di pwn.ai hanno inoltre dimostrato come la vulnerabilità possa essere inserita in una catena di attacco più articolata, denominata XSS2Shell, capace di portare, in determinate condizioni, all’esecuzione di codice PHP sul server.

La compromissione completa non avviene attraverso la sola XSS. La catena dimostrata richiede che un amministratore WordPress già autenticato interagisca con una pagina predisposta dall’attaccante. In tale scenario, l’attaccante può sfruttare la sessione dell’amministratore fino ad ottenere una Application Password e, successivamente, utilizzarne i privilegi per arrivare al caricamento di codice PHP sul sistema.

L’advisory ufficiale WordPress precisa infatti che l’escalation verso l’esecuzione di codice remoto dipende da condizioni non completamente controllabili dall’attaccante e richiede attività di social engineering e un’interazione esplicita della vittima.

Disponibili PoC pubblici

A seguito della pubblicazione dei dettagli tecnici sono comparsi online anche Proof-of-Concept pubblici che riproducono la catena XSS2Shell.

In particolare, un repository pubblico su github mette a disposizione un ambiente di laboratorio basato su WordPress 7.0.2 e descrive una catena che parte dalla XSS sulla pagina di login e arriva alla creazione di una Application Password, al caricamento di un plugin e all’esecuzione di codice PHP sul server.

La disponibilità di informazioni tecniche dettagliate e di codice PoC facilita la riproduzione della vulnerabilità e rende pertanto ancora più importante procedere rapidamente con l’aggiornamento dei sistemi esposti.

Al momento non risultano al CERT-AGID evidenze pubbliche di sfruttamento attivo della vulnerabilità in attacchi reali.

Versioni interessate

La vulnerabilità interessa tutte le versioni di WordPress precedenti alle rispettive release correttive. Tra i principali rami risultano interessate:

• WordPress dalla versione 7.0.0 alla 7.0.2;
• WordPress dalla versione 6.9.0 alla 6.9.5;
• WordPress dalla versione 6.8.0 alla 6.8.6;
• WordPress dalla versione 6.7.0 alla 6.7.5;
• WordPress dalla versione 6.6.0 alla 6.6.5;
• WordPress dalla versione 6.5.0 alla 6.5.8;
• WordPress dalla versione 6.4.0 alla 6.4.8.

La vulnerabilità interessa anche i precedenti rami di WordPress fino alla versione 4.7.

Versioni corrette

Le principali versioni corrette sono:

• WordPress 7.0.3;
• WordPress 6.9.6;
• WordPress 6.8.7;
• WordPress 6.7.6;
• WordPress 6.6.6;
• WordPress 6.5.9;
• WordPress 6.4.9.

La correzione è stata inoltre distribuita sui precedenti rami supportati fino a WordPress 4.7.34. Le versioni precedenti alla 4.7 non rientrano invece nel backport della patch e dovrebbero essere aggiornate a un ramo supportato.

Il CERT-AGID invita le PA a verificare la versione effettivamente installata e ad applicare tempestivamente gli aggiornamenti di sicurezza disponibili.

Verifiche consigliate

Oltre all’aggiornamento, è opportuno controllare che il sistema non presenti segnali di compromissione, in particolare:

• creazione di Application Password non riconosciute;
• creazione di nuovi account amministrativi;
• installazione di plugin o temi non autorizzati;
• modifiche inattese ai file del sito;
• presenza di web shell o file PHP non riconducibili all’installazione;
• attività anomale effettuate tramite le REST API di WordPress;
• accessi anomali agli account con privilegi amministrativi.

In presenza di elementi sospetti, il solo aggiornamento potrebbe non essere sufficiente. È necessario verificare l’eventuale compromissione degli account amministrativi, revocare le Application Password non riconosciute, controllare l’integrità dei file e verificare l’eventuale presenza di codice malevolo sul sistema.

Approfondimenti

• XSS2Shell: WordPress Preauth XSS to RCE Chain
• Security Advisory WordPress: CVE-2026-64638
• Ultima release WordPress: WordPress 7.0.3