// TOM'S HARDWARE ITALIA — CYBERSECURITY
WP2Shell ha colpito WordPress: come il supporto proattivo di Serverplan ha fatto la differenza
Quando si parla di sicurezza di WordPress, l'attenzione si concentra spesso sulle buone pratiche che dovrebbe seguire chi amministra un sito: mantenere aggiornato il CMS, utilizzare plugin affidabili, proteggere gli accessi e disporre di backup recenti. Sono precauzioni fondamentali, ma raccontano solo una parte del problema.
Nel momento in cui viene scoperta una vulnerabilità critica, infatti, entra in gioco un fattore altrettanto importante e molto più difficile da gestire: il tempo. Tra la pubblicazione di una patch e il suo utilizzo effettivo su tutte le installazioni interessate può aprirsi una finestra nella quale gli attaccanti cercano di individuare e compromettere i sistemi rimasti vulnerabili.
È ciò che è accaduto nel luglio 2026 con WP2Shell, una catena di vulnerabilità particolarmente delicata perché, a differenza di molti problemi di sicurezza associati a WordPress, non interessava un plugin o un tema di terze parti, ma direttamente il core del CMS.
Il 17 luglio il team di WordPress ha pubblicato la versione 7.0.2, insieme alle correzioni per i rami precedenti interessati, definendo uno dei problemi di gravità critica e raccomandando l'aggiornamento immediato. Vista la severità delle vulnerabilità, WordPress ha inoltre attivato gli aggiornamenti forzati attraverso il proprio sistema di auto-update per le installazioni compatibili.
In una situazione simile, però, la disponibilità di una patch rappresenta soltanto il punto di partenza. Un sito può non riuscire ad aggiornarsi automaticamente, può utilizzare una configurazione particolare oppure, nel peggiore dei casi, essere già stato compromesso prima dell'applicazione della correzione.
È proprio su questo aspetto che il caso gestito da Serverplan, azienda italiana specializzata in hosting e infrastrutture gestite, diventa interessante: il provider non si è limitato ad attendere l'aggiornamento autonomo dei siti ospitati, ma ha affiancato agli strumenti di automazione il lavoro del proprio Intrepid Support, intervenendo sulle installazioni che richiedevano analisi e operazioni dedicate.
Per comprendere la portata dell'incidente è utile partire dal funzionamento di WP2Shell. Con questo nome non si identifica una singola falla, ma una catena di attacco costruita combinando due vulnerabilità distinte del core di WordPress: CVE-2026-60137, relativa a una SQL injection in WP_Query, e CVE-2026-63030, legata alla gestione delle richieste batch attraverso la REST API.
In determinate condizioni, la combinazione delle due poteva consentire a un attaccante non autenticato di superare alcuni controlli, manipolare le interrogazioni al database e arrivare fino all'esecuzione remota di codice, senza dover disporre preventivamente di credenziali valide o sfruttare un plugin vulnerabile.
Le conseguenze potenziali erano quindi molto più ampie di un semplice malfunzionamento del sito. CERT-AGID ha evidenziato come lo sfruttamento della vulnerabilità potesse portare all'accesso non autorizzato ai dati, alla compromissione degli account amministrativi e, in determinate circostanze, all'installazione di web shell o altro codice malevolo.
Una web shell, in particolare, può offrire all'attaccante un punto di accesso persistente al sistema, permettendogli di continuare a operare anche dopo che la vulnerabilità utilizzata inizialmente per entrare è stata corretta.