Duplicator: falla critica non autenticata, aggiornare subito a 5.0.0 o superiore

Wordfence ha reso pubblica una vulnerabilità ad alta severità in Duplicator e Duplicator Pro, i plugin WordPress per backup e migrazione usati da chi gestisce hosting e deve spostare siti tra server. Chi ha questo plugin installato su siti di clienti deve aggiornare subito: la falla non richiede autenticazione.

Cosa dice l'avviso

Il 30 agosto 2026, durante una ricerca interna, il Wordfence Threat Intelligence Team ha scoperto una vulnerabilità di PHP Object Injection non autenticata in Duplicator e Duplicator Pro. Duplicator conta oltre un milione di installazioni attive. La vulnerabilità è tracciata come CVE-2026-82814 e ha un punteggio CVSS 3.1 di 8.8 (High).

La particolarità è nel meccanismo di attacco: è una vulnerabilità di secondo livello. Un attaccante non autenticato può inserire un valore malevolo in un normale commento WordPress, dove resta dormiente. Se un amministratore crea successivamente un pacchetto Duplicator che contiene quel commento e lo usa per migrare il sito, l'installer standalone tratta il valore memorizzato come un oggetto PHP e lo attiva.

Le conseguenze cambiano a seconda dell'edizione installata. In Duplicator Free le classi incluse nell'installer interessato possono essere combinate per eseguire un comando a scelta dell'attaccante sul sistema operativo. In Duplicator Pro una diversa classe integrata permette di cancellare un file a scelta dell'attaccante. Wordfence ha dimostrato che la cancellazione di wp-config.php può riaprire il processo di setup di WordPress e portare al takeover del sito e all'esecuzione di codice PHP, se l'attaccante arriva per primo al setup e fornisce un database raggiungibile sotto il suo controllo.

Cosa fare

L'indicazione di Wordfence è aggiornare a Duplicator versione 5.0.0 o successiva. Sul repository ufficiale di wordpress.org l'ultima versione disponibile è attualmente la 5.0.6, requisiti minimi PHP 7.4 e WordPress 5.3. Chi gestisce hosting con più siti clienti dovrebbe verificare la versione installata da pannello plugin prima di procedere con qualunque migrazione o backup pianificato, perché è proprio l'operazione di creazione del pacchetto a innescare l'exploit su un sito già compromesso da un commento malevolo.

Chi non può aggiornare subito dovrebbe quantomeno sospendere la creazione di nuovi pacchetti Duplicator su siti con commenti aperti al pubblico non moderati, finché l'update non è applicato.