# WordPress, vulnerabilità 2026: cosa aggiornare tra core, plugin e PHP

URL: https://menteinformatica.it/sicurezza-privacy/wordpress-vulnerabilita-php-core/
Autore: Giorgio Perillo
Aggiornato: 2026-11-04
Categoria: Sicurezza e Privacy

---

**Per capire quale intervento serve al tuo sito WordPress, guarda dove sta la falla. CVE-2026-87902 è nel core: la correggono WordPress 7.1.2 e gli aggiornamenti dei rami di sicurezza mantenuti, pubblicati il 22 settembre 2026. Per le due vulnerabilità critiche di PHP del 21 ottobre 2026 va invece aggiornato PHP, non WordPress.**

## Quali versioni di WordPress sono vulnerabili nel 2026

WordPress 7.1.2, rilasciata il 22 settembre 2026, corregge CVE-2026-87902, una falla critica nel core che riguarda le versioni dalla 4.7.0 alla 7.1.1. Le correzioni sono state riportate anche sui rami di sicurezza mantenuti fino alla 4.7: se resti su uno di quei rami, installa la release che contiene la correzione.

CVE-2026-87902 è un’inclusione di file locali: un attaccante senza account può far caricare a WordPress un file PHP leggibile fuori dalla cartella del tema. Diventa esecuzione di codice remoto solo se il tema ha una cartella che comincia con page- (Twenty Twelve e Twenty Fourteen rientrano nel caso) e il server espone un file adatto.

9.2Punteggio CVSS 4.0 di CVE-2026-87902, classificata critica

Secondo me la condizione sul tema non deve tranquillizzare nessuno. L’inclusione di file senza login è già un problema serio, e capire se il tuo tema ha la struttura giusta costa più fatica che aggiornare.

Il 19 luglio 2026 il [CERT-AGID ha segnalato wp2shell](https://cert-agid.gov.it/news/wp2shell-vulnerabilita-critiche-nel-core-di-wordpress-necessario-aggiornare-i-sistemi/): una SQL injection (CVE-2026-60137) combinata con un errore nelle richieste batch della REST API (CVE-2026-63030). La catena può essere sfruttata da un attaccante non autenticato senza bisogno di un plugin vulnerabile e, in determinate condizioni, può portare all’installazione di web shell.

Le falle del core WordPress più gravi del 2026, con le versioni che le chiudono:

| Vulnerabilità | Versioni interessate | Corretta in |
| --- | --- | --- |
| CVE-2026-87902, inclusione di file (22 settembre 2026) | 4.7.0-7.1.1 | 7.1.2 e aggiornamenti dei rami mantenuti |
| wp2shell, catena completa (19 luglio 2026) | 6.9.0-6.9.4 e 7.0.0-7.0.1 | 6.9.5 e 7.0.2 |
| CVE-2026-60137, sola SQL injection | 6.8.0-6.8.5 | 6.8.6 |

Il 14 agosto 2026 l’ACN ha pubblicato l’alert AL02/260814/CSIRT-ITA su una falla di gravità alta che potrebbe consentire a un utente remoto autenticato di eseguire codice. L’elenco delle versioni interessate va dalla 4.7.0 alla 7.0.3, ma l’ACN precisa che sono vulnerabili solo in specifiche circostanze.

La raccomandazione è [aggiornare seguendo il bollettino di sicurezza del produttore](https://www.acn.gov.it/portale/w/sanata-vulnerabilita-in-wordpress).

Le falle non riguardano solo il core: plugin e temi di terze parti sono spesso coinvolti. Alla consultazione del 4 novembre 2026, la ricerca dell’ACN restituiva 23 risultati per WordPress. Tra questi, gli alert critici AL08/260821/CSIRT-ITA sul plugin Pods e AL01/260923/CSIRT-ITA, rispettivamente del 21 agosto e del 23 settembre 2026, erano segnati come sfruttati.

## La vulnerabilità PHP del 21 ottobre 2026 richiede di aggiornare WordPress?

No. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619, per cui sono state rilasciate correzioni il 21 ottobre 2026, riguardano PHP sul server e non sono specifiche di WordPress: possono interessare anche altri siti e applicazioni PHP. Per questi problemi [non è previsto alcun aggiornamento di WordPress](https://it.wordpress.org/news/2026/10/aggiornamento-di-sicurezza-critico-per-php/): va aggiornato **PHP**.

Su un server vulnerabile, le falle possono consentire l’esecuzione di codice senza autenticazione.

Le versioni corrette dal progetto PHP il 21 ottobre 2026, ramo per ramo:

| Ramo PHP | Versione minima corretta | Nota |
| --- | --- | --- |
| PHP 8.5 | 8.5.12 | Aggiornare a questa o successiva |
| PHP 8.4 | 8.4.27 | Aggiornare a questa o successiva |
| PHP 8.3 | 8.3.36 | La 8.3.35 non basta |
| PHP 8.2 | 8.2.35 | Supporto ufficiale fino al 31 dicembre 2026 |
| PHP 8.1 e precedenti | Nessun aggiornamento di sicurezza ordinario dal progetto PHP | Passare a un ramo supportato o accertare una correzione del fornitore |

Per PHP 7.4, 8.0 e 8.1 il progetto ha pubblicato backport minimi del codice sorgente, pensati per chi compila PHP da sé. Non riaprono il supporto di quei rami. Io sceglierei PHP 8.3 o 8.4, se compatibile con il sito, anziché PHP 8.2: il supporto ufficiale di quest’ultima termina il 31 dicembre 2026.

## Come controllo la versione di PHP del mio sito WordPress

In WordPress la versione di PHP si legge da Strumenti > Salute del sito > Informazioni > Server. Molti hosting la mostrano anche nel pannello di amministrazione.

Le distribuzioni Linux e i servizi di supporto esteso a volte distribuiscono la patch come aggiornamento del pacchetto, senza cambiare il numero di versione. E un pannello che mostra “PHP 8.3” non prova che il fix ci sia. Chiedi al provider quale build è attiva e se copre **entrambe le CVE**.

**Server vecchio e autogestito:** Se gestisci da solo un server con PHP precedente alla 8.2 e non puoi aggiornarlo subito, diverse agenzie nazionali di sicurezza consigliano di valutare la messa fuori servizio del sito finché il problema non è risolto.

## Come capisco se il mio sito è stato compromesso

Aggiornare WordPress o PHP chiude la falla ma **non rimuove un accesso già installato** da un attaccante. Dopo l’aggiornamento conviene cercare i segnali di compromissione più comuni, partendo dai log del server e dall’elenco degli utenti amministratori del sito WordPress.

I segnali da controllare:

- Richieste anomale nei log verso /wp-json/batch/v1 e ?rest_route=/batch/v1

- Nuovi account amministratore che non hai creato tu

- File del sito modificati senza un motivo noto

- Plugin o temi che non riconosci

- Web shell o file PHP che non appartengono all’installazione

- Credenziali, configurazioni o dati del database cambiati in modo inatteso

Se trovi qualcosa di sospetto, isola il sito, conserva i log per l’analisi e verifica se password, token e chiavi raggiungibili dal portale sono stati compromessi. Cambia le credenziali potenzialmente esposte e conserva le nuove in un [password manager affidabile](https://menteinformatica.it/sicurezza-privacy/gestore-password-sicurezza-pc-smartphone/).

## Cosa fare se non puoi aggiornare subito

Contro wp2shell puoi bloccare l’accesso anonimo agli endpoint batch della REST API con un WAF (un firewall che filtra il traffico verso il sito) o con la configurazione del web server. È una mitigazione temporanea. Può rompere funzioni legittime e non ripara il codice vulnerabile.

Anche contro le falle PHP un WAF può ridurre il rischio, ma non sostituisce la correzione sul server. Se PHP è gestito dall’hosting, conta che il provider confermi una build con entrambe le patch, anche quando il numero di versione mostrato nel pannello non cambia.

Stay tech 🦾