CVE-2026-19949: falla SQL injection in All-in-One WP Migration, 3,2 milioni di siti ancora esposti

Chi gestisce hosting WordPress per conto terzi ha un motivo in più per controllare oggi, martedì 13 ottobre 2026, l'elenco dei plugin installati sui siti dei clienti. Il bollettino di Wordfence, la divisione di sicurezza di Defiant, descrive una vulnerabilità nel plugin All-in-One WP Migration and Backup di ServMask, installato su oltre 5 milioni di siti attivi secondo i dati di WordPress.org.

Il CVE e il punteggio

La falla è tracciata come CVE-2026-19949, con CVSS 8.8 (alto). Il CVSS v3.1 ha base score 8.8, severità HIGH, con vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Si tratta di un difetto di SQL injection di secondo livello nella funzionalità di ripristino dell'archivio del plugin.

Come funziona l'attacco

Il meccanismo non è immediato, e questo lo rende più insidioso da individuare nei log. Un attaccante può prima memorizzare input malevolo nel database di WordPress, poi aspettare che il sito esegua un'operazione che il plugin è progettato per gestire: esportare o ripristinare un archivio. Quel ritardo nell'esecuzione è ciò che rende il difetto una SQL injection di secondo livello. L'input malevolo viene memorizzato invece di essere eseguito immediatamente e diventa pericoloso solo quando il plugin lo recupera successivamente durante un'operazione di archivio.

Nel dettaglio: l'SQL iniettata può esporre la chiave segreta di import del plugin (ai1wm_secret_key) tramite un commento pubblico, permettendo all'attaccante di ottenerla e importare un archivio '.wpress' malevolo contenente codice eseguibile. Il punto di ingresso iniziale sono i trackback nativi di WordPress: la catena di exploit inizia con la funzione trackback del nucleo di WordPress. Un attaccante può inviare due trackback a un post pubblico, ciascuno contenente un backslash finale e un URL che punta a un payload. Il plugin memorizza questi valori senza rimuovere i backslash o rifiutare gli URL.

Chi ha segnalato il bug è stato il ricercatore Jack Taylor: ha riportato la falla a Wordfence tramite il suo programma di bug bounty il 14 agosto; Wordfence ha poi avvisato ServMask, lo sviluppatore del plugin, descrivendo il difetto come un attacco di SQL injection di secondo livello.

Versioni interessate e correzione

La vulnerabilità riguarda tutte le versioni di All-in-One WP Migration and Backup fino alla 7.109 ed è stata corretta nella versione 7.110, rilasciata il 20 agosto. Chi gestisce più installazioni può controllare la versione attiva dalla bacheca di WordPress sotto Plugin, oppure da riga di comando con WP-CLI:

wp plugin list --name=all-in-one-wp-migration
wp plugin update all-in-one-wp-migration

Quanti siti sono ancora esposti

Il dato preoccupante non è la gravità del bug in sé, ma la lentezza con cui è stato applicato il fix. Al 3 settembre, solo il 35% di tutte le installazioni è stato aggiornato alla versione 7.110, il che significa che circa 3,2 milioni di siti stanno eseguendo una versione vulnerabile del plugin, secondo i dati di WordPress.

Cosa controllare nei log

Chi sospetta un tentativo di exploit pregresso dovrebbe cercare nei log del database o negli export .wpress generati prima dell'aggiornamento eventuali commenti pubblici contenenti stringhe SQL anomale o riferimenti a ai1wm_secret_key, e verificare nei trackback ricevuti la presenza di URL con backslash finali sospetti. Se il sito ha già eseguito un ciclo di export/import con una versione precedente alla 7.110, conviene rigenerare la chiave segreta del plugin e verificare i commenti in moderazione prima di approvarli.

Per chi gestisce hosting condiviso o pannelli multi-sito, il consiglio pratico resta lo stesso di sempre davanti a un CVSS 8.8 su un plugin da 5 milioni di installazioni: aggiornare prima di controllare, non dopo.