In questo blog ripetiamo spesso quanto sia fondamentale aggiornare tempestivamente i componenti del proprio sito web non appena gli esperti di sicurezza rilasciano gli avvisi relativi alle nuove vulnerabilità. Purtroppo, la realtà ci dimostra quotidianamente che moltissimi amministratori tendono a procrastinare o a sottovalutare questi allarmi, lasciando la propria piattaforma esposta. Ignorare questi avvisi o rimandare la manutenzione significa trasformare il proprio portale in un bersaglio facile per cybercriminali che scansionano la rete h24 in cerca di installazioni obsolete. Quando una falle diventa di pubblico dominio, scatta infatti una vera e propria corsa contro il tempo tra chi deve applicare le patch e gli attaccanti che cercano di sfruttarla su larga scala prima che i proprietari corrano ai ripari.
L’impatto di questa leggerezza si nota chiaramente osservando l’andamento degli attacchi contro uno dei plugin più famosi al mondo, Elementor Pro, installato su oltre 6.000.000 di siti attivi. Come abbiamo approfondito recentemente in un altro articolo sul nostro blog, questa estensione è stata colpita da una gravissima vulnerabilità identificata con il codice CVE-2026-32475 e un punteggio di gravità di 9.8 su 10 (Critical). Questa falla di Unauthenticated Arbitrary File Upload permetteva a malintenzionati non autenticati di bypassare i controlli sui caricamenti file nei moduli di contatto ed eseguire il caricamento di file PHP malevoli. La situazione è peggiorata rapidamente, e sono arrivate conferme del fatto che gli attaccanti hanno iniziato a sfruttare attivamente la falla lo stesso giorno della sua divulgazione. Pare che a tale proposito siano stati già bloccati più di 190.000 tentativi di attacco mirati a prendere il controllo completo dei siti e dei backend vulnerabili.
Una dinamica del tutto simile ha coinvolto anche Super Forms – Drag & Drop Form Builder, un altro noto plugin per la gestione dei moduli presente su circa 13.000 siti attivi. La falla che lo riguarda, tracciata come CVE-2026-14894 e accreditata anch’essa con una gravità di 9.8 (Critical), consisteva in una mancanza di validazione sul tipo di file e sull’assenza di controlli di autorizzazione nella gestione AJAX dei form. Gli attaccanti sono stati in grado di concatenare due semplici richieste HTTP per generare un token valido e caricare sul server un file eseguibile codificato in base64, come la web shell nota come Mushr00w_upl.php. Il volume dell’offensiva su questa estensione è stato persino superiore, con oltre 250.000 tentativi di exploit bloccati a partire da metà luglio fino ai picchi registrati alla fine di agosto.
Analizzando i dati forniti dagli esperti di sicurezza, emerge un quadro impressionante della velocità con cui agiscono gli hacker e dei volumi di traffico malevolo generati. Soltanto per queste due falle di sicurezza sono stati registrati oltre 440.000 tentativi di violazione complessivi, partiti da specifici indirizzi IP che da soli hanno scagliato decine di migliaia di richieste ciascuno. Ad esempio, un singolo IP ha diretto più di 106.000 richieste dannose verso siti che utilizzavano Super Forms, mentre le minacce contro Elementor Pro hanno visto picchi di decine di migliaia di attacchi nei primissimi giorni successivi al rilascio del fix. Questi dati dimostrano in modo inequivocabile che non si tratta di episodi isolati, ma di campagne automatizzate su vasta scala capaci di scandagliare milioni di domini in pochissimo tempo per installare backdoor, kit di phishing o malware.
I numeri e le dinamiche di questi attacchi devono servire da lezione per chiunque abbia un sito web o un portale sviluppato con il CMS WordPress. Come ripetiamo ormai da anni, mantenere un sito sicuro non è un’operazione straordinaria da svolgere una volta ogni tanto, ma un processo di manutenzione continua che richiede l’adozione di soluzioni di sicurezza come sistemi di monitoraggio e pulizia costante, eventuali firewall per applicazioni web (WAF) e soprattutto l’abilitazione degli aggiornamenti automatici per i plugin critici. Se non si vuole abilitare l’aggiornamento automatico per paura di problemi legati alla compatibilità, invece, si deve fare lo sforzo fondamentale di impegnarsi a seguire personalmente il proprio backend ed in modo non saltuario. Fare affidamento unicamente sulla fortuna o pensare che il proprio portale sia troppo piccolo per interessare i pirati informatici è il più grave degli errori, perché i bot non fanno distinzioni e colpiscono indiscriminatamente chiunque sia rimasto indietro con le patch. Alla luce di quanto visto, nel caso specifico visto in questo articolo, la prevenzione resta l’unica reale difesa efficace, è quindi fortemente necessario aggiornare subito Elementor Pro almeno alla versione 4.2.2 e Super Forms alla versione 6.3.314, primo passo indispensabile per evitare problemi di elevata gravità.