La popolarità globale di WordPress lo rende la piattaforma di gestione dei contenuti più utilizzata al mondo, ma anche uno dei bersagli prioritari nei piani di attacco degli attori malevoli. La struttura modulare del CMS, basata sull’integrazione di plugin e temi personalizzati, rappresenta spesso l’anello debole della catena di difesa, trasformando codice non adeguatamente revisionato o poco aggiornato in una vera e propria porta d’accesso per intrusioni esterne. L’ampia superficie d’attacco offerta da componenti terzi espone continuamente le installazioni a rischi di compromissione, esportazione indebita di dati e malware. Quando queste debolezze strutturali toccano l’infrastruttura di scuole, istituti educativi o enti della Pubblica Amministrazione, la gravità del problema cresce in modo esponenziale, poiché non è in gioco solo l’integrità tecnica del portale, ma anche la riservatezza delle comunicazioni interne e la tutela di dati personali sensibili riguardanti minori, famiglie e personale scolastico.
A confermare quanto questo rischio sia concreto è stato l’allarme diffuso dal CSIRT Italia e dall’Agenzia per la Cybersicurezza Nazionale (ACN) incentrato sull’individuazione di ben quattro vulnerabilità nel tema ufficiale Design Scuole Italia (design-scuole-wordpress-theme). L’impatto sistemico generale dell’evento è stato valutato con un valore Alto di 65.0, mettendo in evidenza una potenziale minaccia diretta per il tessuto informatico scolastico nazionale. L’analisi di sicurezza ha portato alla luce criticità che permettono a utenti non autenticati di violare la riservatezza e l’integrità dei file di sistema, sfruttando lacune sia nella gestione delle richieste dei file sia nei meccanismi di autorizzazione interna delle funzionalità del tema.
I vettori di attacco principali ruotano attorno a due falle catalogate con livello di gravità alta, entrambe caratterizzate da un punteggio pari a 8.7 su 10. La prima è la CVE-2026-87791, una falla di tipo Path Traversal collocata nella funzione reserved_file_check all’interno del file functions.php, causata da un’insufficiente validazione dei percorsi dei file elaborati dal server. Detto in modo più semplice, un attaccante può manipolare il percorso inviando una richiesta ad hoc per effettuare una lettura arbitraria di file (Arbitrary File Read) e scaricare qualsiasi file arbitrario presente sul filesystem ed accessibile dai permessi del processo web. La seconda debolezza di rilievo è la CVE-2026-87792, una falla di Authorization Bypass e Information Disclosure presente nelle funzioni dsi_pdf_generator e dsi_csv_generator. Questa debolezza consente a malintenzionati privi di autenticazione di aggirare i controlli di accesso, estraendo informazioni sugli utenti registrati e documenti riservati appartenenti alla tipologia Circolare, con il fattore aggravante dell’endpoint /circolare/feed/ che facilita la scansione automatizzata e l’indicizzazione dei contenuti protetti.
Oltre ai due bug di punta, il quadro complessivo dell’avviso ACN integra altre due falle tracciate ufficialmente, ovvero la CVE-2026-87793 e la CVE-2026-89307, che completano la matrice dei rischi identificati nel codice sorgente del tema. Sebbene i dettagli di queste due ultime vulnerabilità indichino un impatto minore rispetto alle prime, la loro presenza combinata aumenta notevolmente la superficie d’attacco complessiva. In un contesto operativo reale, un malintenzionato potrebbe infatti concatenare la lettura arbitraria dei file con il bypass delle autorizzazioni per ricostruire le mappe degli utenti, estrapolare credenziali o configurazioni di sistema e preparare l’accesso definitivo ai database degli istituti.
Alla luce dei dettagli tecnici emersi, appare evidente come la prevenzione tramite aggiornamenti tempestivi non sia una mera procedura formale, ma la colonna portante della postura di sicurezza informatica di qualsiasi ente pubblico. Le versioni affette da queste vulnerabilità comprendono tutte le versioni di design-scuole-wordpress-theme precedenti alla 2.18.3. È perciò fondamentale un intervento immediato da parte di amministratori di sistema, tecnici IT e dirigenti scolastici affinché applichino subito la patch rilasciata nel repository ufficiale del progetto. L’indiscutibile responsabilità istituzionale legata al trattamento dei dati di studenti e dipendenti impone un’attenzione costante: rimandare un aggiornamento critico significa esporre inutilmente dati sensibili a minacce automatizzate ed evitare questo rischio richiede solo pochi minuti di manutenzione correttiva.
Fonte: 1