Se il sito della tua azienda gira su WordPress, oggi c’è una cosa da fare prima di aprire la posta. Il 17 luglio WordPress ha rilasciato due versioni di sicurezza d’emergenza — la 7.0.2 e la 6.9.5 — per chiudere una falla che la nota ufficiale definisce senza giri di parole: un problema che porta all’esecuzione di codice da remoto. Tradotto: un estraneo, senza password e senza account, può eseguire comandi sul tuo sito e prenderne il controllo.
La differenza rispetto ai soliti allarmi è tutta in una parola: core.
Perché stavolta “non ho plugin strani” non ti salva
Di falle WordPress se ne leggono di continuo, ma quasi sempre riguardano un plugin: un modulo aggiuntivo che qualcuno ha installato e che va aggiornato o rimosso. Il ragionamento istintivo del titolare è «io ho un sito pulito, poche estensioni, quindi non mi tocca».
Stavolta il ragionamento non regge. La falla — battezzata dai ricercatori WP2Shell — è nel nucleo di WordPress, cioè nel programma di base che c’è su ogni installazione. La nota ufficiale la descrive come una confusione nelle rotte della REST API unita a una SQL injection che porta all’esecuzione di codice. Colpisce anche un’installazione appena creata, senza un solo plugin attivo.
Le falle di cui si legge di solito stanno nei plugin, i moduli aggiuntivi che si possono rimuovere. WP2Shell è nel core di WordPress: il programma di base presente su ogni sito, anche quello con zero estensioni. Per questo riguarda potenzialmente tutti.
Fonte: WordPress.org, The Hacker News — luglio 2026
Considerando che WordPress fa girare una fetta enorme dei siti aziendali italiani, il bacino di siti potenzialmente esposti è molto ampio.
La buona notizia: la finestra è ancora aperta
C’è un motivo per non farsi prendere dal panico. Al momento — 18 luglio — chi ha scoperto la falla riferisce che non risultano ancora attacchi in corso, e ha pubblicato solo uno strumento di verifica trattenendo i dettagli tecnici che servirebbero a un aggressore. Significa che c’è ancora tempo per mettersi in sicurezza prima dell’ondata, che di solito arriva quando i dettagli diventano pubblici.
Le versioni sicure sono queste:
- se sei sul ramo 7, devi essere alla 7.0.2
- se sei sul ramo 6.9, devi essere alla 6.9.5
Cosa fare in cinque minuti
- Entra nel pannello del sito (l’area con «wp-admin» nell’indirizzo) e guarda in Bacheca → Aggiornamenti: lì è scritta la versione installata. Se non è la 7.0.2 o la 6.9.5, aggiorna da quella stessa schermata.
- Non gestisci tu il sito? Scrivi ora, oggi, a chi te lo cura (agenzia, freelance, hosting) una riga sola: «Verifica che WordPress sia alla 7.0.2 o 6.9.5 dopo la patch del 17 luglio». È una richiesta che qualsiasi tecnico capisce al volo.
- Controlla che l’aggiornamento automatico sia davvero attivo. WordPress aggiorna da solo le versioni di sicurezza, ma su molti siti l’automatismo è stato disattivato negli anni per non rompere qualcosa. Non darlo per scontato: verificalo, o fallo verificare.
In breve
Il 17 luglio WordPress ha corretto una falla nel core — non in un plugin — che permette a un estraneo senza password di eseguire codice sul sito. Le versioni sicure sono la 7.0.2 e la 6.9.5. Colpisce anche i siti puliti, quindi «non ho estensioni strane» non basta. E come racconta l’aggiornamento qui sotto, dal 21 luglio gli attacchi sono in corso: chi non ha ancora aggiornato deve farlo subito, e verificare di non essere già stato compromesso.
Aggiornamento del 22 luglio: gli attacchi sono iniziati, e aggiornare non basta più
La finestra di calma è finita. Il 21 luglio BleepingComputer ha documentato lo sfruttamento di massa della falla: gli aggressori stanno usando WP2Shell per installare webshell (porte di servizio nascoste), caricare plugin malevoli, rubare le credenziali del database e creare account amministratore abusivi. Secondo i dati citati, una quota rilevante dei siti monitorati risultava ancora non aggiornata a giorni dalla patch.
Il punto nuovo è questo: se il tuo sito è rimasto su una versione vulnerabile in questi giorni, aggiornare adesso chiude la porta ma non caccia chi è già entrato. Oltre all’aggiornamento, fai (o fai fare) tre controlli:
- Utenti amministratori: c’è qualche account che non riconosci? Va rimosso e vanno cambiate le password admin e del database.
- Plugin: compare qualcosa che non hai mai installato? Via subito.
- File sospetti: file PHP recenti in cartelle insolite (ad esempio nelle cartelle di cache) sono il segno classico della webshell.
Nel dubbio, la strada pulita è ripristinare da un backup precedente al 17 luglio e aggiornare immediatamente dopo. Se il sito lo gestisce un’agenzia o un hosting, la richiesta da fare oggi non è più solo «aggiorna», ma «verifica che non siamo già stati compromessi».