Quasi ogni sito WordPress di una piccola impresa ha, da qualche parte, un plugin che fa i backup: e’ la rete di sicurezza che permette di tornare indietro se qualcosa si rompe. Il piu’ diffuso al mondo e’ UpdraftPlus, con oltre 3 milioni di installazioni attive. Proprio questo plugin e’ al centro di una vulnerabilita’ critica, CVE-2026-10795, divulgata dal produttore il 5 giugno e gia’ sfruttata in rete dall’11 giugno.
Cosa permette di fare la falla
Si tratta di un bypass dell’autenticazione: in parole semplici, un estraneo senza username e password riesce a farsi riconoscere dal sito come se fosse un amministratore. Il difetto vive nel canale che UpdraftPlus usa per essere comandato a distanza (il sistema UpdraftCentral). Una volta superato il controllo, la catena d’attacco prosegue: l’aggressore carica un plugin malevolo e da li’ arriva a eseguire codice sul server, cioe’ a prendere il controllo del sito.
Per una PMI il danno concreto non e’ astratto: defacement della vetrina, redirect dei clienti verso pagine truffa, furto dei dati di contatto, oppure il sito trasformato in un veicolo per diffondere spam. E poiche’ parliamo del plugin di backup, c’e’ il rischio aggiuntivo che l’aggressore metta le mani anche sulle copie di sicurezza.
UpdraftPlus e' il plugin di backup piu' diffuso. La vulnerabilita' CVE-2026-10795 (tracciata anche come CVE-2026-0352) riguarda le versioni fino alla 1.26.4 inclusa; la correzione e' nella 1.26.5 (free) e 2.26.5 (premium). Dall'11 giugno SiteGround ha aggiornato in massa oltre 128.000 siti.
Fonte: SiteGround, Patchstack, Search Engine Journal — giugno 2026
La sfumatura che evita il panico inutile
Qui c’e’ il punto che molti titoli allarmistici saltano: non tutti i 3 milioni di siti sono vulnerabili allo stesso modo. Questo specifico attacco passa per il canale di gestione remota, quindi colpisce i siti che hanno una chiave UpdraftCentral attiva oppure una Migrator key (la funzione premium per spostare i siti). Un’installazione di UpdraftPlus usata solo in locale, senza connessione remota, non e’ esposta a questo vettore.
La distinzione e’ importante per dosare l’urgenza. Se gestite un solo sito e non avete mai collegato UpdraftCentral, il rischio diretto da questa falla e’ basso, ma l’aggiornamento resta comunque consigliato. Se invece amministrate piu’ siti da un pannello centrale con UpdraftCentral, siete esattamente nel bersaglio: la priorita’ e’ massima.
1) Aggiornare UpdraftPlus alla versione 1.26.5 o superiore (2.26.5 per il premium); se usate UpdraftCentral, aggiornare anche quel plugin alla 0.8.32. 2) Verificare se sul sito e' attiva una chiave UpdraftCentral o una Migrator key: e' la condizione che vi rende davvero esposti. 3) Chiedere all'hosting o al webmaster conferma scritta che la patch e' stata applicata e che nei log non risultano upload di plugin sospetti.
In breve
CVE-2026-10795 trasforma il plugin di backup piu’ usato di WordPress in una possibile via d’ingresso per chi vuole prendere il controllo del sito. Per una PMI la sequenza e’ chiara: aggiornare a UpdraftPlus 1.26.5 (e UpdraftCentral 0.8.32 se lo usate), capire se si usa la gestione remota — che e’ la vera condizione di rischio — e farsi confermare per iscritto dal proprio referente tecnico che tutto e’ stato sistemato. Sono controlli da fare questa settimana, a costo zero.