Il mondo di WordPress si trova nuovamente a fare i conti con l’intrinseca fragilità della sua vasta lista di strumenti sviluppati esternamente, che mette talvolta a repentaglio la sicurezza dei siti web, anche quelli con le corrette difese perimetrali impostate dagli amministratori. I plugin rappresentano il cuore pulsante delle funzionalità di questo CMS, ma al contempo costituiscono la superficie di attacco più estesa e vulnerabile. Quando i cybercriminali riescono a infiltrarsi direttamente nei sistemi di rilascio di un fornitore legittimo, trasformano uno strumento di ottimizzazione in un veicolo di infezione di massa, vanificando gli sforzi degli utenti che aggiornano regolarmente i propri componenti per rimanere al sicuro.
Un recente e grave episodio di questa tipologia ha preso di mira ShapedPlugin, un noto vendor dell’ecosistema WordPress che conta complessivamente oltre quattrocentomila installazioni attive. La minaccia, tracciata ufficialmente con l’identificativo CVE-2026-10735 e associata a un punteggio di gravità CVSS di 9.8 su 10, classificato come critico, ha evidenziato una precisione chirurgica da parte degli aggressori. A essere colpita non è stata la repository pubblica e gratuita di WordPress, bensì il sistema privato di build e distribuzione dei plugin in versione Pro, ospitata direttamente sul sito e-commerce dello sviluppatore. Questo significa che gli utenti paganti, i quali hanno scaricato gli aggiornamenti direttamente dai canali ufficiali licenziati, hanno ricevuto inconsapevolmente pacchetti software modificati contenenti una pericolosa backdoor.
L’analisi tecnica condotta dagli esperti di sicurezza ha rivelato una struttura d’attacco complessa e stratificata che inizia con l’esecuzione di un file loader denominato LicenseLoader.php, iniettato all’interno di estensioni commerciali molto diffuse come Real Testimonials Pro, Product Slider Pro for WooCommerce e Smart Post Show Pro. Una volta attivato all’avvio del pannello di amministrazione, questo componente scarica un payload distruttivo da un server di comando e controllo basato su indirizzi IP legati a server russi, per poi auto-eliminarsi e cancellare le proprie tracce in modo da ostacolare i tentativi di rilevamento. Il payload principale si installa simulando un plugin legittimo nella directory woocommerce-subscription (anziché Subscriptions) e si nasconde dalla bacheca, avviando un’attività di esfiltrazione massiva di credenziali in chiaro, dati di configurazione del file wp-config.php e dettagli degli ordini commerciali. L’elemento più allarmante riguarda la capacità del malware di setacciare il database alla ricerca dei segreti e dei seed dei sistemi di autenticazione a due fattori (2FA) inviandoli al dominio civetta generate.2faplugin.org per consentire agli attaccanti di aggirare completamente anche i meccanismi di protezione multifattoriale.
Questo incidente solleva una profonda riflessione sulla natura mutevole e sempre più sofisticata delle minacce informatiche che colpiscono le piattaforme di gestione dei contenuti. Gli attacchi alla supply chain dimostrano che i tradizionali paradigmi di difesa incentrati esclusivamente sul patching tempestivo non sono più sufficienti se il codice stesso viene corrotto alla fonte prima ancora di essere installato. Tornando al caso di questo articolo, coloro che hanno installato uno degli strumenti di ShapedPlugins dovrebbero seguire alcuni consigli degli esperti per una buona salute dei loro portali. Tra essi, si raccomanda di controllare se, nella propria directory, si trova anche woocommerce-subscription (o woocommerce-notification), cambiare le credenziali d’accesso al backend e le chiavi API per il file wp-config.php, reimpostare tutte le autenticazioni a due fattori per sicurezza, controllare che non esistano nuovi utenti admin e guardare anche se i parametri SMTP non hanno subito modifiche. Per i proprietari di siti web diventa quindi indispensabile adottare un approccio basato sulla difesa in profondità, affiancando ai classici controlli di routine un monitoraggio continuo dell’integrità dei file sul server e un’analisi proattiva dei comportamenti anomali del database. Solo attraverso una consapevolezza tecnica più matura e la rigenerazione sistematica di tutte le chiavi crittografiche e dei segreti di autenticazione, specialmente a seguito di incidenti così estesi, sarà possibile mitigare i rischi derivanti da una fiducia riposta in canali di terze parti che si rivelano improvvisamente compromessi.
Fonte: 1
