🔒 Stato del Core WordPress

WordPress 6.9.4 è ora disponibile e risolve 10 problemi di sicurezza insieme a un bug nel caricamento dei template. L’aggiornamento immediato è raccomandato per tutti i siti in produzione.

WordPress 7.0 Release Candidate 2 è pronto per il testing, ma dovrebbe essere utilizzato solo in ambienti di staging o locali.

Questa settimana non sono state divulgate nuove vulnerabilità nel core di WordPress.

🚨 Allarme rosso

I seguenti plugin con un’ampia base di installazioni presentano vulnerabilità critiche o ad alta gravità. È richiesta un’azione immediata.

Slider, Gallery, and Carousel by MetaSlider

Installazioni: 500.000+
Vulnerabilità: Remote Code Execution (RCE)
CVE: 2026-39465
✅ Soluzione: Aggiorna alla versione 3.107.0

LearnPress

Installazioni: 80.000+
Vulnerabilità: Broken Access Control
CVE: 2026-4365
✅ Soluzione: Aggiorna alla versione 4.3.3

Product Filter for WooCommerce by WBW

Installazioni: 60.000+
Vulnerabilità: SQL Injection
CVE: 2026-3830
✅ Soluzione: Aggiorna alla versione 3.1.3

Product Filter for WooCommerce by WBW

Installazioni: 60.000+
Vulnerabilità: SQL Injection
CVE: 2026-39494
✅ Soluzione: Aggiorna alla versione 3.1.3

Form Maker by 10Web

Installazioni: 30.000+
Vulnerabilità: SQL Injection
CVE: 2025-15441
✅ Soluzione: Aggiorna alla versione 1.15.38

WCAPF – Ajax Product Filter for WooCommerce

Installazioni: 9.000+
Vulnerabilità: SQL Injection
CVE: 2026-3396
✅ Soluzione: Aggiorna alla versione 4.3.0

ManageWP Worker

Installazioni: 1.000.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-39463
✅ Soluzione: Aggiorna alla versione 4.9.32

WP Statistics

Installazioni: 600.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5231
✅ Soluzione: Aggiorna alla versione 14.16.5

BackWPup

Installazioni: 500.000+
Vulnerabilità: Local File Inclusion
CVE: 2026-6227
✅ Soluzione: Aggiorna alla versione 5.6.7

Slider, Gallery, and Carousel by MetaSlider

Installazioni: 500.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39467
✅ Soluzione: Aggiorna alla versione 3.107.0

ShortPixel Image Optimizer

Installazioni: 300.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39471
✅ Soluzione: Aggiorna alla versione 6.4.4

Unlimited Elements For Elementor

Installazioni: 300.000+
Vulnerabilità: Arbitrary File Download
CVE: 2026-4659
✅ Soluzione: Aggiorna alla versione 2.0.7

PDF Invoices & Packing Slips for WooCommerce

Installazioni: 300.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39472
✅ Soluzione: Aggiorna alla versione 5.9.0

CMP – Coming Soon & Maintenance Plugin

Installazioni: 200.000+
Vulnerabilità: Arbitrary File Upload
CVE: 2026-6518
✅ Soluzione: Aggiorna alla versione 4.1.17

Optimole

Installazioni: 200.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5217
✅ Soluzione: Aggiorna alla versione 4.2.3

Optimole

Installazioni: 200.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5226
✅ Soluzione: Aggiorna alla versione 4.2.4

Post Duplicator

Installazioni: 200.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39474
✅ Soluzione: Aggiorna alla versione 3.0.11

Everest Forms

Installazioni: 100.000+
Vulnerabilità: Directory Traversal
CVE: 2026-5478
✅ Soluzione: Aggiorna alla versione 3.4.5

Anti-Malware Security and Brute-Force Firewall

Installazioni: 100.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39478
✅ Soluzione: Aggiorna alla versione 4.23.88

Modula Image Gallery

Installazioni: 100.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39481
✅ Soluzione: Aggiorna alla versione 2.14.19

Tutor LMS

Installazioni: 100.000+
Vulnerabilità: SQL Injection
CVE: 2026-6080
✅ Soluzione: Aggiorna alla versione 3.9.9

Customer Reviews for WooCommerce

Installazioni: 80.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-3355
✅ Soluzione: Aggiorna alla versione 5.102.0

Jupiter X Core

Installazioni: 80.000+
Vulnerabilità: Broken Access Control
CVE: 2026-39490
✅ Soluzione: Aggiorna alla versione 4.14.2

Drag and Drop Multiple File Upload for Contact Form 7

Installazioni: 60.000+
Vulnerabilità: Arbitrary File Upload
CVE: 2026-5718
✅ Soluzione: Aggiorna alla versione 1.3.9.7

Drag and Drop Multiple File Upload for Contact Form 7

Installazioni: 60.000+
Vulnerabilità: Arbitrary File Download
CVE: 2026-5710
✅ Soluzione: Aggiorna alla versione 1.3.9.7

Advanced Product Fields for WooCommerce

Installazioni: 50.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39499
✅ Soluzione: Aggiorna alla versione 1.6.20

YayMail

Installazioni: 50.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-39498
✅ Soluzione: Aggiorna alla versione 4.3.4

Easy Digital Downloads

Installazioni: 40.000+
Vulnerabilità: Broken Access Control
CVE: 2026-39503
✅ Soluzione: Aggiorna alla versione 3.6.6

Form Maker by 10Web

Installazioni: 30.000+
Vulnerabilità: SQL Injection
CVE: 2026-3330
✅ Soluzione: Aggiorna alla versione 1.15.41

Form Maker by 10Web

Installazioni: 30.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-4388
✅ Soluzione: Aggiorna alla versione 1.15.41

Social Slider Feed

Installazioni: 20.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-39507
✅ Soluzione: Aggiorna alla versione 2.3.3

Smart Post Show

Installazioni: 20.000+
Vulnerabilità: PHP Object Injection
CVE: 2026-3017
✅ Soluzione: Aggiorna alla versione 3.0.13

Payment Gateway for Redsys & WooCommerce Lite

Installazioni: 20.000+
Vulnerabilità: Broken Access Control
CVE: 2026-40741
✅ Soluzione: Aggiorna alla versione 7.0.1

Payment Gateway for Redsys & WooCommerce Lite

Installazioni: 20.000+
Vulnerabilità: Bypass Vulnerability
CVE: 2026-5050
✅ Soluzione: Aggiorna alla versione 7.0.1

wpForo Forum

Installazioni: 20.000+
Vulnerabilità: Directory Traversal
CVE: 2026-6248
✅ Soluzione: Aggiorna alla versione 3.0.6

wpForo Forum

Installazioni: 20.000+
Vulnerabilità: Arbitrary File Deletion
CVE: 2026-5809
✅ Soluzione: Aggiorna alla versione 3.0.3

WPZOOM Addons for Elementor

Installazioni: 20.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-39597
✅ Soluzione: Aggiorna alla versione 1.3.5

WP Customer Area

Installazioni: 10.000+
Vulnerabilità: Arbitrary File Download
CVE: 2026-3464
✅ Soluzione: Aggiorna alla versione 8.3.5

Easy Appointments

Installazioni: 10.000+
Vulnerabilità: Sensitive Data Exposure
CVE: 2026-2262
✅ Soluzione: Aggiorna alla versione 3.12.22

Easy Appointments

Installazioni: 10.000+
Vulnerabilità: Broken Access Control
CVE: 2026-39513
✅ Soluzione: Aggiorna alla versione 3.12.22

MasterStudy LMS

Installazioni: 10.000+
Vulnerabilità: SQL Injection
CVE: 2026-4817
✅ Soluzione: Aggiorna alla versione 3.7.26

Paid Membership Subscriptions

Installazioni: 10.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-39514
✅ Soluzione: Aggiorna alla versione 3.0.0

Royal WordPress Backup

Installazioni: 10.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-4305
✅ Soluzione: Aggiorna alla versione 1.0.17

⛔ Plugin critici non patchati

I seguenti plugin non hanno ancora una patch disponibile e presentano vulnerabilità ad alta gravità o critiche. Si consiglia di disattivarli immediatamente fino al rilascio di un aggiornamento.

Riaxe Product Customizer

Installazioni: Non specificato
Vulnerabilità: SQL Injection
CVE: 2026-3599
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Riaxe Product Customizer

Installazioni: Non specificato
Vulnerabilità: Broken Access Control
CVE: 2026-3596
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Visa Acceptance Solutions

Installazioni: Non specificato
Vulnerabilità: Privilege Escalation
CVE: 2026-3461
❌ Soluzione: NESSUNA PATCH DISPONIBILE

WCFM Marketplace

Installazioni: 10.000+
Vulnerabilità: SQL Injection
CVE: 2025-63029
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Accept Cryptocurrencies with Plisio

Installazioni: 1.000+
Vulnerabilità: Broken Access Control
CVE: 2026-6372
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Quick Interest Slider

Installazioni: 1.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5694
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Livemesh Addons for Elementor

Installazioni: Non specificato
Vulnerabilità: Local File Inclusion
CVE: 2026-1620
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Inquiry form to posts or pages

Installazioni: Non specificato
Vulnerabilità: Cross Site Request Forgery (CSRF)
CVE: 2026-6293
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Login as User

Installazioni: Non specificato
Vulnerabilità: Privilege Escalation
CVE: 2026-5617
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Accessibility Suite

Installazioni: Non specificato
Vulnerabilità: SQL Injection
CVE: 2026-3773
❌ Soluzione: NESSUNA PATCH DISPONIBILE

Accessibly

Installazioni: Non specificato
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-3643
❌ Soluzione: NESSUNA PATCH DISPONIBILE

⚠️ Backdoor malevoli individuati

Sono stati scoperti backdoor malevoli in diversi plugin popolari. Questi rappresentano una minaccia critica e devono essere rimossi immediatamente:

Accordion and Accordion Slider (versione fix: 1.4.6.1)
Album and Image Gallery plus Lightbox (versione fix: 2.1.8.1)
Blog Designer (versione fix: 2.7.7.1)
Countdown Timer Ultimate (versione fix: 2.6.9.1)
Featured Post Creative (versione fix: 1.5.7.1)
Video gallery and Player (versione fix: 2.8.7.1)
Meta slider and carousel with lightbox (versione fix: 2.0.8.1)
Popup Anything (versione fix: 2.9.1.1)
Portfolio and Projects (versione fix: 1.5.6.1)
Post grid and filter ultimate (versione fix: 1.7.4.1)
WP responsive FAQ with category (versione fix: 3.9.5.1)
WP News and Scrolling Widgets (versione fix: 5.0.6.1)
WowShipping Pro (versione fix: 1.0.8)
Post Ticker Ultimate (versione fix: 1.7.6.1)
Timeline and History slider (versione fix: 2.4.5.1)
WP Blog and Widget (versione fix: 2.6.6.1)
WP Featured Content and Slider (versione fix: 1.7.6.1)
WP Logo Showcase (versione fix: 3.8.7.1)
WP Responsive Recent Post Slider (versione fix: 3.7.1.1)
WP Slick Slider and Image Carousel (versione fix: 3.7.8.2)
Team Slider and Team Grid Showcase (versione fix: 2.8.6.1)
Testimonial Grid and Testimonial Slider (versione fix: 3.5.6.1)
Trending/Popular Post Slider (versione fix: 1.8.6.1)

Azione richiesta: Aggiorna immediatamente o rimuovi questi plugin. Esegui una scansione completa del sito alla ricerca di compromissioni.

📋 Altri aggiornamenti importanti (gravità media)

I seguenti plugin con più di 10.000 installazioni hanno ricevuto patch per vulnerabilità di gravità media:

Advanced Custom Fields (ACF)

Installazioni: 2.000.000+
Vulnerabilità: Broken Access Control
CVE: 2026-4812
✅ Soluzione: Aggiorna alla versione 6.7.1

Fluent Forms

Installazioni: 700.000+
Vulnerabilità: Broken Authentication
CVE: 2026-4160
✅ Soluzione: Aggiorna alla versione 6.2.0

Royal Addons for Elementor

Installazioni: 600.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5162
✅ Soluzione: Aggiorna alla versione 1.7.1057

WP Statistics

Installazioni: 600.000+
Vulnerabilità: Broken Access Control
CVE: 2026-3488
✅ Soluzione: Aggiorna alla versione 14.16.5

Meta Box

Installazioni: 500.000+
Vulnerabilità: Arbitrary File Deletion
CVE: 2026-39468
✅ Soluzione: Aggiorna alla versione 5.11.2

WP Shortcodes Plugin – Shortcodes Ultimate

Installazioni: 400.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-3885
✅ Soluzione: Aggiorna alla versione 7.5.0

Page Builder Gutenberg Blocks – CoBlocks

Installazioni: 300.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-4801
✅ Soluzione: Aggiorna alla versione 3.1.17

JetBackup

Installazioni: 100.000+
Vulnerabilità: Path Traversal
CVE: 2026-4853
✅ Soluzione: Aggiorna alla versione 3.1.20.3

Kubio AI Page Builder

Installazioni: 100.000+
Vulnerabilità: Broken Access Control
CVE: 2026-5427
✅ Soluzione: Aggiorna alla versione 2.7.3

LatePoint

Installazioni: 100.000+
Vulnerabilità: Sensitive Data Exposure
CVE: 2026-5234
✅ Soluzione: Aggiorna alla versione 5.4.0

Tutor LMS

Installazioni: 100.000+
Vulnerabilità: Broken Access Control
CVE: 2026-40743
✅ Soluzione: Aggiorna alla versione 3.9.8

Tutor LMS

Installazioni: 100.000+
Vulnerabilità: Broken Access Control
CVE: 2026-5502
✅ Soluzione: Aggiorna alla versione 3.9.9

ProfilePress

Installazioni: 100.000+
Vulnerabilità: Broken Access Control
CVE: 2026-4949
✅ Soluzione: Aggiorna alla versione 4.16.13

Download Monitor

Installazioni: 90.000+
Vulnerabilità: Arbitrary File Download
CVE: 2026-39489
✅ Soluzione: Aggiorna alla versione 5.1.10

Email Encoder

Installazioni: 90.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2024-7083
✅ Soluzione: Aggiorna alla versione 2.3.4

Email Encoder

Installazioni: 90.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-2840
✅ Soluzione: Aggiorna alla versione 2.4.5

ShopLentor

Installazioni: 90.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-4059
✅ Soluzione: Aggiorna alla versione 3.3.6

Customer Reviews for WooCommerce

Installazioni: 80.000+
Vulnerabilità: Broken Authentication
CVE: 2026-4664
✅ Soluzione: Aggiorna alla versione 5.104.0

3D FlipBook

Installazioni: 80.000+
Vulnerabilità: Broken Access Control
CVE: 2026-1314
✅ Soluzione: Aggiorna alla versione 1.16.18

Jupiter X Core

Installazioni: 80.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-39491
✅ Soluzione: Aggiorna alla versione 4.14.2

OneSignal

Installazioni: 70.000+
Vulnerabilità: Broken Access Control
CVE: 2026-3155
✅ Soluzione: Aggiorna alla versione 3.8.1

Germanized for WooCommerce

Installazioni: 70.000+
Vulnerabilità: Content Injection
CVE: 2026-2582
✅ Soluzione: Aggiorna alla versione 3.20.6

wpDataTables

Installazioni: 70.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5721
✅ Soluzione: Aggiorna alla versione 6.5.0.5

Contextual Related Posts

Installazioni: 60.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-2986
✅ Soluzione: Aggiorna alla versione 4.2.2

User Registration

Installazioni: 60.000+
Vulnerabilità: Open Redirection
CVE: 2026-6203
✅ Soluzione: Aggiorna alla versione 5.1.5

WP Maps

Installazioni: 60.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2025-13364
✅ Soluzione: Aggiorna alla versione 4.8.8

Categories Images

Installazioni: 50.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-2505
✅ Soluzione: Aggiorna alla versione 3.3.2

Better Find and Replace

Installazioni: 50.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-3369
✅ Soluzione: Aggiorna alla versione 1.8.0

BetterDocs

Installazioni: 40.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-3875
✅ Soluzione: Aggiorna alla versione 4.3.9

Quiz and Survey Master (QSM)

Installazioni: 40.000+
Vulnerabilità: Content Injection
CVE: 2026-5797
✅ Soluzione: Aggiorna alla versione 11.1.1

PostX

Installazioni: 40.000+
Vulnerabilità: Broken Access Control
CVE: 2026-0718
✅ Soluzione: Aggiorna alla versione 5.0.6

Website LLMs.txt

Installazioni: 30.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-6712
✅ Soluzione: Aggiorna alla versione 8.2.7

Website LLMs.txt

Installazioni: 30.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-6711
✅ Soluzione: Aggiorna alla versione 8.2.7

WP YouTube Lyte

Installazioni: 30.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-3299
✅ Soluzione: Aggiorna alla versione 1.7.30

UsersWP

Installazioni: 20.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-5742
✅ Soluzione: Aggiorna alla versione 1.2.61

wpForo Forum

Installazioni: 20.000+
Vulnerabilità: Broken Access Control
CVE: 2026-4666
✅ Soluzione: Aggiorna alla versione 3.0.0

Content Blocks

Installazioni: 10.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-0894
✅ Soluzione: Aggiorna alla versione 3.4.1

EMC – Easily Embed Calendly Scheduling

Installazioni: 10.000+
Vulnerabilità: Cross Site Scripting (XSS)
CVE: 2026-0868
✅ Soluzione: Aggiorna alla versione 4.5

Eventin

Installazioni: 10.000+
Vulnerabilità: Broken Access Control
CVE: 2026-4109
✅ Soluzione: Aggiorna alla versione 4.1.9

🛡️ Vulnerabilità nei temi WordPress

Sono state scoperte vulnerabilità anche in 29 temi WordPress. Il tema Vantage (3.2 milioni di download) presenta una vulnerabilità XSS di gravità media, ora corretta nella versione 1.20.33.

Diversi temi presentano vulnerabilità di Arbitrary File Upload di gravità critica:

WebStack – NESSUNA PATCH (CVE-2026-1555)
Charity Zone – Aggiorna alla 1.1.2 (CVE-2026-40749)
Ecommerce Zone – Aggiorna alla 0.9.8 (CVE-2026-40747)
Kids Gift Shop – Aggiorna alla 0.5.5 (CVE-2026-40748)
Kids Online Store – Aggiorna alla 0.9.0 (CVE-2026-40750)
Restaurant Zone – Aggiorna alla 0.7.9 (CVE-2026-40746)
Webenvo – Aggiorna alla 0.0.7 (CVE-2026-39589)

Altri 21 temi presentano vulnerabilità di PHP Object Injection o Local File Inclusion di gravità alta, tutte ora patchate.

📊 Riepilogo numerico

Plugin totali con vulnerabilità: 187
Plugin patchati: 159
Plugin non patchati: 28
Temi con vulnerabilità: 29
Temi patchati: 28
Temi non patchati: 1
Vulnerabilità critiche: Oltre 30
Backdoor scoperti: 23

✅ Azioni raccomandate

Aggiorna WordPress Core alla versione 6.9.4 immediatamente
Controlla i plugin installati confrontandoli con le liste sopra
Aggiorna tutti i plugin vulnerabili alle versioni corrette
Disattiva immediatamente i plugin senza patch disponibile
Rimuovi i plugin con backdoor e controlla eventuali compromissioni
Esegui una scansione completa del sito con strumenti di sicurezza affidabili
Verifica i backup recenti e la loro integrità
Monitora i log del server per attività sospette
Implementa un Web Application Firewall (WAF) se non già presente
Attiva l’autenticazione a due fattori per tutti gli account amministratore

⚠️ Ci sono altri 120+ plugin minori con vulnerabilità rilevate. Controlla la dashboard di sicurezza del tuo sito.

🔗 Risorse utili

Ultimo aggiornamento: 22 Aprile 2026