Il punto non è solo che WordPress ha corretto CVE-2026-65640. Il fix è stato riportato fino alla 4.7, quindi anche installazioni legacy con Imagick e Ghostscript restano dentro il perimetro. L’assunzione che i rami vecchi siano troppo datati per contare non regge più. La falla sta nel disallineamento tra controllo del nome del file e controllo del contenuto: un upload che sembra un PNG può contenere PostScript, e il parser a valle arriva a eseguirlo. La 7.0.4 corregge il comportamento su tutti i rami interessati; il rischio riguarda siti con diritti di upload per autori e flussi che passano immagini a parser content-aware. Per chi gestisce pubblicazioni multi-autore, membership site o siti clienti, la verifica non si ferma alla 7.0.4: conta anche il vecchio parco installato. Un WordPress già patchato può restare esposto se il ramo è ancora 4.7 o se il percorso Imagick/Ghostscript è attivo.
Part of the PlainSec briefing for 2026-08-15