Wordfence ha segnalato che Avada e Fusion Builder possono portare a CVE-2026-18431, una chain di sei flaw che finisce in una RCE senza autenticazione. Il punto non è un singolo bug: il problema nasce quando entrambi i componenti restano su versioni vulnerabili, anche se parte dell'ambiente è già stata aggiornata.
In pratica, una richiesta pubblica attraversa una serie di controlli, salti di fiducia e limiti di contesto fino a far trattare input controllato dall'attaccante come se fosse un'azione amministrativa legittima. Da lì si arriva a eseguire PHP sul server, con effetti che includono furto di dati, inserimento di malware, creazione di account admin fraudolenti e alterazione del sito.
ThemeFusion ha corretto il difetto in Avada 7.16.1 e Fusion Builder 3.16.1. Per chi gestisce siti con aggiornamenti non allineati tra tema e plugin, la notizia è che una patch parziale può non bastare: finché la coppia resta disomogenea, il percorso d'attacco può rimanere aperto.