Backuply: SQL injection di secondo livello, 600.000 siti WordPress a rischio

Wordfence ha reso pubblica una vulnerabilità SQL injection di secondo livello nel plugin Backuply – Backup, Restore, Migrate and Clone, usato su oltre 600.000 siti WordPress attivi. Chi gestisce hosting o manutiene siti con questo plugin deve verificare la versione installata e aggiornare prima di effettuare qualsiasi restore di backup.

Cosa fa la falla

La vulnerabilità, tracciata come CVE-2026-93953, riguarda il campo Biographical Info in tutte le versioni fino alla 1.5.8 compresa, a causa di un escaping insufficiente sul parametro fornito dall'utente e della mancata preparazione di una query SQL esistente. Non è un'iniezione diretta: il payload resta innocuo finché un amministratore non avvia il ripristino di un backup del database. Durante il restore, un'estrazione non sicura del prefisso delle tabelle e la costruzione della query SQL permettono aggiornamenti al database controllati dall'attaccante. Il risultato pratico: un attaccante può abilitare la registrazione pubblica e impostare amministratore come ruolo predefinito, permettendo a un account appena registrato di prendere il controllo del sito.

Per innescare l'attacco basta un account con ruolo subscriber, il livello più basso di accesso autenticato su WordPress. Il punteggio assegnato è CVSS Rating 8.0 (High), vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H.

Timeline e patch

La vulnerabilità è stata scoperta e segnalata responsabilmente dal ricercatore daroo attraverso il Wordfence Bug Bounty Program, che gli è valso una ricompensa di 1.352,00 dollari. Wordfence ha validato il report il 19 settembre 2026 e ha disclosurato la vulnerabilità al vendor il 28 settembre 2026. Il team di Backuply ha rilasciato la versione 1.5.9 il 1° ottobre 2026, dopo la segnalazione tramite il bug bounty.

Chi è protetto e da quando

Gli utenti Wordfence Premium, Care e Response hanno ricevuto una regola firewall contro gli exploit noti su questa vulnerabilità fin dalla fase di validazione. La protezione per gli utenti della versione gratuita è prevista per il 24 ottobre 2026: fino a quella data il firewall gratuito non copre la falla, quindi conviene non aspettare e aggiornare subito.

Cosa fare

Chi gestisce siti con Backuply deve controllare la versione dal pannello Plugin di WordPress e, se inferiore alla 1.5.9, aggiornare immediatamente, in particolare prima di eseguire qualsiasi operazione di restore da backup esistenti. Il plugin è distribuito da Softaculous ed è disponibile sul repository ufficiale wordpress.org/plugins/backuply.