Report Sicurezza WordPress – 25 Febbraio 2026: 49 Vulnerabilità Senza Patch

📊 Panoramica della settimana

Il report di sicurezza del 25 febbraio 2026 evidenzia una situazione preoccupante: su 205 vulnerabilità totali rilevate nei plugin WordPress, 49 rimangono completamente senza patch. Particolarmente critica la situazione per alcuni plugin con installazioni elevate che presentano vulnerabilità di tipo SQL Injection, Remote Code Execution e Privilege Escalation.

WordPress Core: Nessuna nuova vulnerabilità segnalata. WordPress 7.0 è attualmente in fase Beta 1 (rilascio previsto 9 aprile 2026).

🚨 Allarme rosso: vulnerabilità critiche e ad alta gravità

I seguenti plugin con oltre 10.000 installazioni attive presentano vulnerabilità critiche o ad alta gravità. Azione immediata richiesta.

⛔ Plugin critici senza patch disponibile

Questi plugin presentano vulnerabilità critiche o ad alta gravità ma non hanno ancora rilasciato una correzione. Se li utilizzi, considera di disattivarli temporaneamente o cercare alternative.

📋 Altri aggiornamenti importanti (gravità media)

Plugin con oltre 10.000 installazioni che presentano vulnerabilità di gravità media. Sebbene meno critiche, queste vulnerabilità dovrebbero comunque essere corrette al più presto.

🎨 Vulnerabilità nei temi WordPress

Questa settimana sono state identificate 39 vulnerabilità nei temi WordPress, di cui 31 senza patch disponibile. Particolarmente preoccupanti sono le vulnerabilità di tipo Local File Inclusion e PHP Object Injection presenti in diversi temi premium.

Temi con patch disponibile

• Context Blog (84.000+ download) – Sensitive Data Exposure – Aggiorna alla versione 1.2.6
• Shopire (89.000+ download) – Broken Access Control – Aggiorna alla versione 1.0.58
• Spa and Salon (165.000+ download) – Broken Access Control – Aggiorna alla versione 1.3.3
• Grand Restaurant – PHP Object Injection (Critical) – Aggiorna alla versione 7.0.11
• Ippsum – PHP Object Injection (Critical) – Aggiorna alla versione 1.2.1
• CitiLights – Broken Access Control – Aggiorna alla versione 3.7.2
• Sweet Date – PHP Object Injection (Critical) – Aggiorna alla versione 4.0.1
• Wiguard – Arbitrary File Upload (Critical) – Aggiorna alla versione 2.0.1

Temi critici senza patch

I seguenti temi presentano vulnerabilità critiche senza correzioni disponibili:

• Buyent – Privilege Escalation (Critical)
• Dentario – PHP Object Injection (Critical)
• Kingler – PHP Object Injection (Critical)
• Tennis Club – PHP Object Injection (Critical)
• Valenti – PHP Object Injection (High)

Numerosi altri temi presentano vulnerabilità di tipo Local File Inclusion ad alta gravità, tra cui A-Mart, Blabber, Coworking, Fooddy, Gustavo e altri.

✅ Raccomandazioni immediate

1. Aggiorna immediatamente tutti i plugin e temi che hanno patch disponibili, dando priorità a quelli con vulnerabilità critiche o ad alta gravità
2. Disattiva temporaneamente i plugin critici senza patch disponibile (wpForo Forum, Business Directory Plugin, Product Table for WooCommerce) fino al rilascio di una correzione
3. Considera alternative per i plugin che rimangono vulnerabili da tempo senza ricevere aggiornamenti di sicurezza
4. Implementa un WAF (Web Application Firewall) per proteggere il sito dalle vulnerabilità note
5. Monitora regolarmente la dashboard di sicurezza del tuo WordPress e abilita gli aggiornamenti automatici per i plugin critici
6. Esegui backup completi prima di procedere con qualsiasi aggiornamento massivo

⚠️ Nota importante: Ci sono altri 126 plugin minori (con meno di 10.000 installazioni) che presentano vulnerabilità rilevate. Se utilizzi plugin meno diffusi, controlla attentamente la dashboard di sicurezza del tuo sito.

🔍 Conclusioni

La settimana del 25 febbraio 2026 mostra un panorama di sicurezza preoccupante con 49 vulnerabilità non corrette su 205 totali. La presenza di SQL Injection in plugin popolari come wpForo Forum e Business Directory Plugin richiede particolare attenzione. Gli amministratori WordPress devono agire tempestivamente per proteggere i propri siti, aggiornando i plugin vulnerabili e valutando alternative per quelli senza patch disponibili.

La sicurezza del tuo sito WordPress dipende dalla tua capacità di reagire rapidamente a queste minacce. Non rimandare gli aggiornamenti di sicurezza.