Moltissime piccole imprese hanno “solo un sito vetrina”: qualche pagina, i contatti, un modulo per chiedere un preventivo. Spesso quel sito gira su WordPress con un tema premium acquistato anni fa, e uno dei piu’ diffusi in assoluto e’ Avada, venduto da oltre un decennio insieme al suo costruttore di pagine Avada (Fusion) Builder e presente su circa un milione di siti. Proprio quel costruttore e’ al centro di una vulnerabilita’ critica segnalata in questi giorni: CVE-2026-8713, con punteggio di gravita’ 9,1 su 10.
Cosa permette di fare la falla
Si tratta di una cancellazione arbitraria di file non autenticata. Tradotto: un estraneo, senza alcuna password ne’ account, puo’ inviare al sito una richiesta costruita ad arte e ottenere la cancellazione di un file qualsiasi sul server. Il difetto sta in una funzione che ripulisce i dati dei moduli per motivi di privacy e che non verifica davvero quale file sta per eliminare.
Il problema non e’ la perdita di un file qualunque. Se l’attaccante cancella un file di sistema come quello di configurazione di WordPress, il sito puo’ finire in uno stato che apre la strada al controllo completo da parte di chi attacca. In pratica, da un modulo di contatto apparentemente innocuo si puo’ arrivare a perdere il sito.
Avada e' uno dei temi premium piu' venduti di sempre per WordPress: si stima circa un milione di installazioni attive. La falla CVE-2026-8713 riguarda Avada Builder fino alla versione 3.15.3 inclusa; la correzione e' nella 3.15.4.
Fonte: SecurityOnline, CyberPress — giugno 2026
Perche’ riguarda anche chi “ha solo un sito vetrina”
L’idea diffusa e’ che senza un’area clienti, senza pagamenti online e senza dati sensibili un sito non faccia gola a nessuno. Questa falla smentisce quel ragionamento: l’attacco non punta ai dati, ma alla cancellazione di file, e funziona se sul sito esiste un modulo pubblico costruito con Avada che salva i dati inviati. Quasi ogni sito vetrina ha almeno un modulo “contattaci”. La buona notizia e’ che, al momento, non risultano attacchi gia’ in corso in rete: c’e’ quindi una finestra per mettersi in sicurezza prima che qualcuno provi a sfruttarla.
1) Accedere alla bacheca WordPress e aprire la sezione Plugin (oppure Avada nel menu). 2) Controllare la versione di Avada / Fusion Builder: se e' la 3.15.3 o precedente, e' vulnerabile. 3) Aggiornare alla versione 3.15.4 o superiore, dopo aver fatto un backup. Se il sito e' gestito da un'agenzia o da un tecnico esterno, inoltrare oggi stesso la richiesta di conferma dell'aggiornamento.
In breve
CVE-2026-8713 trasforma un costruttore di pagine molto comune in una possibile porta per cancellare file e compromettere il sito, senza bisogno di credenziali. Per una PMI l’azione e’ semplice e a costo zero: verificare la versione di Avada / Fusion Builder e aggiornare alla 3.15.4 (o successiva), preceduto da un backup. Chi non gestisce il sito in prima persona dovrebbe scrivere oggi al proprio referente IT o all’agenzia chiedendo conferma che l’aggiornamento sia stato applicato. E’ una di quelle verifiche che, fatte in tempo, evitano un guaio molto piu’ costoso da rimediare.