WordPress Core: patch per vulnerabilità critica di path traversal non autenticata

WordPress ha rilasciato un aggiornamento di sicurezza per una vulnerabilità critica di path traversal non autenticata in WordPress Core. Lo segnala Wordfence in un avviso pubblicato il 22 settembre 2026. La falla riguarda chi amministra siti e server WordPress: va corretta subito, senza aspettare la finestra di manutenzione successiva.

Cosa dice l'avviso

Secondo Wordfence, la vulnerabilità permette la local file inclusion (LFI) tramite PHP senza bisogno di autenticazione: un aggressore non deve avere credenziali per sfruttarla. Su configurazioni server e tema specifiche, l'exploit può evolvere in remote code execution (RCE), cioè esecuzione di codice arbitrario sul server che ospita il sito.

Wordfence non specifica nell'avviso quali combinazioni esatte di server e tema espongono al rischio RCE, né il numero di CVE assegnato: il testo pubblicato è un PSA (public service announcement) che rimanda all'aggiornamento come azione prioritaria, non un bollettino tecnico dettagliato.

Cosa fare

Chi gestisce hosting WordPress, in proprio o per conto di clienti, deve:

• verificare la versione di WordPress Core installata su ogni sito;
• applicare l'aggiornamento di sicurezza non appena disponibile nel pannello di amministrazione o via wp core update;
• controllare i log del server per accessi anomali a percorsi di file nei giorni precedenti alla patch, soprattutto su siti con temi non aggiornati o configurazioni PHP permissive (es. allow_url_include attivo).

Per chi amministra più installazioni, vale la pena automatizzare il controllo versione con strumenti di gestione centralizzata (WP-CLI su più host, plugin di site management, o il controllo versioni lato pannello hosting), così da non dipendere dall'aggiornamento manuale di ogni singolo sito.

Il dettaglio tecnico completo, compreso l'eventuale CVE, è sull'avviso originale di Wordfence linkato in testa a questo articolo.