Vulnerabilità ed exploit · Attacco ad app web

Oltre 440.000 tentativi trasformano due plugin WordPress in shell

Wordfence ha visto oltre 440.000 tentativi di sfruttamento contro Super Forms e Elementor Pro. La storia non è più quella di due RCE appena divulgate: è un abuso automatizzato su scala ampia, con siti WordPress esposti al rischio concreto di takeover.

Le due falle, CVE-2026-14894 e CVE-2026-32475, consentono a un attaccante non autenticato di caricare un file PHP come se fosse contenuto normale del form. Se quel file finisce in uno spazio raggiungibile dal web, può essere eseguito come script e diventare una webshell; da lì si possono creare account amministratore, esfiltrare dati o prendere il controllo del sito.

Super Forms è corretto nella 6.3.314 ed Elementor Pro nella 4.2.2. Per chi gestisce form pubblici su WordPress, il punto non è solo chiudere il bug: resta l’ipotesi che un sito già raggiunto abbia subito una compromissione persistente e che il takeover non finisca con la sola patch.

3 fonti · 5 set

Cronologia

• 5 set Segnalato da SecurityWeek
• 4 set Segnalato da The Hacker News
• 3 set Segnalato da BleepingComputer

Fonti

• 5 set SecurityWeek

  Elementor Pro WordPress Plugin Vulnerability Exploited to Hack Sites

  Tracked as CVE-2026-32475 (CVSS score of 9.8), the bug described as an arbitrary file upload issue in the function that handles form submissions.

  originale

• 4 set The Hacker News

  Over 440,000 Exploit Attempts Target Super Forms and Elementor Pro RCE Flaws

  Attackers are exploiting Super Forms and Elementor Pro flaws to upload PHP files and execute code on WordPress sites.

  originale

• 3 set BleepingComputer

  Critical Elementor Pro flaw exploited to take over WordPress sites

  A recently patched critical vulnerability (CVE-2026-32475) in the Elementor Pro plugin for WordPress is being exploited in attacks that deliver a webshell payload and execute arbitrary commands on the server.

  originale

Part of the PlainSec briefing for 2026-09-05

Every edition of this story: Oltre 440.000 tentativi trasformano due plugin WordPress in shell

Altro da oggi

• Il backup di Cadence allarga il danno del TeamCity zero-day
• Plex costringe a patchare server e desktop insieme
• Il front-end Gateway di NetScaler è il vero bersaglio