WordPress 7.1.4 corregge RCE non autenticata nella finestra di aggiornamento

WordPress ha rilasciato la versione 7.1.4 il 28 ottobre 2026. Secondo Wordfence, l'aggiornamento comprende correzioni per 22 vulnerabilità distribuite su 17 avvisi, contro le sette della 7.1.3 uscita tre settimane prima.

La falla più grave: RCE senza account durante l'update

Il problema principale è una race condition nel processo di aggiornamento del core, che porta a esecuzione di codice remoto. Per sfruttarla non serve alcun account, ma l'attaccante deve colpire la finestra di pochi secondi durante cui un aggiornamento è in corso, e wp-content/upgrade/ deve essere raggiungibile dal web.

Il meccanismo, secondo Patchstack citato da Cyber Kendra: per pochi secondi resta raggiungibile a un URL indovinabile una copia completa di WordPress, comprensiva di wp-admin/setup-config.php, l'installer, che gira senza il file di configurazione del sito. Un attaccante che agisse in tempo potrebbe lanciare l'installer contro un database sotto il proprio controllo, dentro la web root della vittima. Patchstack ha valutato la complessità dell'attacco come alta, definendola non pratica da sfruttare, ma avverte: i plugin di sicurezza non possono bloccare l'attacco, perché la copia estratta carica WordPress dai propri file e il firewall PHP del sito non entra mai in funzione. La raccomandazione pratica è bloccare l'accesso web a wp-content/upgrade/ a livello server e verificare che la directory non sia elencabile.

Il resto dei 22 problemi riguarda XSS memorizzati e simili, ma tutti tranne due richiedono un account già autenticato, di solito con ruolo Contributor.

Versioni patchate per ramo

Ramo	Versione corretta
7.1.x	7.1.4
7.0.x	7.0.8
6.9.x	6.9.11
fino a	4.7.39
4.6 e precedenti	non più supportate

Dati tratti dalla documentazione ufficiale di WordPress e da Webtaculos.

Tentativi già osservati

Patchstack ha visto i primi tentativi contro la falla lo stesso giorno del rilascio, concludendo che chi li ha costruiti lavorava sul diff pubblico piuttosto che su una scoperta indipendente, dato che le correzioni sono pubbliche nel mirror GitHub di WordPress dalle 8:26 CDT dello stesso giorno. Nessun CVE è stato ancora assegnato. Le correzioni sono già incluse anche nella WordPress 7.2 Beta 3, in vista del rilascio della 7.2 previsto per l'8 dicembre.

Chi gestisce hosting WordPress dovrebbe verificare oggi stesso che l'aggiornamento automatico sia andato a buon fine e, se gestisce il webserver, bloccare subito l'accesso pubblico a wp-content/upgrade/.