LiteSpeed Cache per WordPress: falla CVE-2026-93389 espone i carrelli WooCommerce

LiteSpeed ha pubblicato il 4 novembre 2026 un avviso di sicurezza per LiteSpeed Cache for WordPress (LSCWP), il plugin di caching lato server usato su gran parte degli hosting LiteSpeed. Chi gestisce negozi WooCommerce su infrastruttura LiteSpeed deve controllare la versione installata: la falla tocca direttamente i dati dei clienti in fase di acquisto.

Cosa dice l'avviso

Si tratta di una vulnerabilità di tipo Unauthenticated Sensitive Information Disclosure, segnalata dal team Wordfence e classificata come CVE-2026-93389. LiteSpeed l'ha corretta nella versione 7.9.2.

Il problema riguarda solo i siti dove sono vere contemporaneamente queste condizioni: l'opzione Cache REST API è impostata su ON (il valore di default), WooCommerce è installato e attivo con carrello e checkout in uso, e almeno un cliente ha effettivamente usato carrello o checkout sul sito. Se queste condizioni si verificano, un attaccante non autenticato può ricevere i dati di carrello o checkout messi in cache relativi a un altro cliente: nome, indirizzo, email, numero di telefono e contenuto del carrello. Nei casi peggiori l'informazione esposta include anche le credenziali di sessione di quel carrello, senza che l'attaccante debba avere un account o un accesso precedente.

Tempistiche e azione richiesta

LiteSpeed ricostruisce così la cronologia: il 17 settembre 2026 Wordfence ha segnalato il problema, il 19 ottobre 2026 è stata rilasciata la patch con la versione 7.9.2 sul repository di WordPress, e il 23 ottobre 2026 la 7.9.2 è stata aggiunta come release stabile nel pannello di controllo dei plugin LiteSpeed.

L'azione raccomandata è una sola: aggiornare alla 7.9.2 o successiva. Chi tiene il plugin sempre aggiornato non deve fare nulla; chi non aggiorna da tempo deve farlo subito, dato comando pannello o wp plugin update litespeed-cache da riga di comando se si usa WP-CLI.

Un plugin con precedenti

LiteSpeed Cache è installato su oltre 7 milioni di siti attivi, secondo la pagina ufficiale del plugin su wordpress.org. Non è la prima falla critica: nell'agosto 2024 una escalation di privilegi non autenticata (CVE-2024-28000, punteggio CVSS 9.8) aveva interessato oltre 5 milioni di installazioni. Sulla pagina del plugin risulta già disponibile anche la versione 7.9.3, successiva alla 7.9.2 indicata come patch per questa falla: chi aggiorna oggi puo' installare direttamente l'ultima release.