WooCommerce Wholesale Lead Capture: webshell caricate mesi dopo la patch

Se avete installato il plugin a pagamento Wholesale Lead Capture per WooCommerce su un negozio WordPress, oggi 15 ottobre 2026 è il giorno buono per controllare la versione. Non perché sia uscita una falla nuova, ma perché una vecchia continua a essere sfruttata attivamente, sette mesi dopo che il produttore l'ha corretta.

Il CVE e la versione corretta

La vulnerabilità è registrata come CVE-2026-27540, classificata come caricamento file senza restrizioni (CWE-434). Secondo il bollettino tecnico di Wordfence, ripreso da Infosecurity Magazine, Wordfence ha bloccato più di 100.000 tentativi di sfruttamento contro CVE-2026-27540 nel plugin WooCommerce Wholesale Lead Capture, prodotto premium di Rymera Web Co con circa 6.000 installazioni attive. La falla è stata divulgata e corretta il 20 febbraio con la versione 2.0.3.2.

Un dettaglio da annotare per chi gestisce più installazioni: Wordfence ha valutato il CVSS a 9.8, mentre il record CVE, emesso da Patchstack, riportava un punteggio di 9.0, una differenza che dipende in parte da quanto viene giudicata complessa l'attacco. Nella pratica, per chi deve aggiornare, cambia poco: la versione sicura resta sempre 2.0.3.2 o successiva.

Come funziona il bypass

Il problema sta nell'azione AJAX che gestisce gli allegati del modulo di registrazione all'ingrosso. Il plugin espone un'azione AJAX, wwlc_file_upload_handler, che gestisce i caricamenti dal modulo di registrazione all'ingrosso ed è raggiungibile da visitatori non autenticati. Quell'handler controlla l'estensione di un file rispetto a un elenco di tipi permessi. Qui sta l'errore: Wordfence ha scoperto che l'elenco viene letto direttamente dalla richiesta anziché dalla configurazione lato server del modulo, quindi basta forgiare il parametro per includere php tra i formati ammessi.

Nelle richieste osservate dal laboratorio Wordfence, gli attaccanti hanno inviato richieste create ad hoc con un parametro settings forgiato e un file PHP, spesso chiamato shell.php. La webshell risultante riporta i dettagli dell'host e offre un modulo di caricamento via browser per scrivere ulteriori file sul sito.

L'attività non è un singolo picco isolato: i tentativi di exploit sono stati più intensi tra il 4 e il 17 giugno, con ulteriore attività il 1° luglio e il 30 agosto.

Come controllare se siete stati colpiti

Prima cosa: verificare la versione installata da Plugin > Plugin installati nel pannello WordPress. Se è 2.0.3.1 o precedente, aggiornare subito a 2.0.3.2 o successiva.

Poi cercare segni di compromissione. Wordfence consiglia di rivedere la cartella uploads per file PHP inattesi o creati di recente, e controllare i log di accesso del web server per richieste a admin-ajax.php con l'azione vulnerabile. Da riga di comando, su un hosting Linux, un controllo rapido è:

find /path/to/wp-content/uploads -name "*.php" -newermt "2026-06-01"
grep "wwlc_file_upload_handler" /var/log/apache2/access.log*

Attenzione però: l'assenza di voci di log corrispondenti non dimostra che un sito sia pulito. Se si trova qualcosa, la procedura indicata è rimuovere i file inattesi e gli account amministratore sconosciuti, e controllare il sito per backdoor.

Un dettaglio operativo per chi gestisce molti siti su piattaforme condivise: secondo quanto riportato da Hashe Computer Solutions, la regola firewall di Wordfence è arrivata in tempi diversi a seconda del piano: gli utenti Wordfence Premium, Care e Response hanno ricevuto la protezione il 27 febbraio 2026, mentre chi usa la versione gratuita l'ha ricevuta solo il 29 marzo 2026, un mese dopo. Chi gestisce installazioni su licenza gratuita e non ha ancora aggiornato il plugin manualmente ha avuto quindi una finestra di esposizione più lunga.