Torniamo purtroppo a stretto giro sulle vulnerabilità dei CMS ed in special modo su quelle di WordPress per parlare di una nuova vulnerabilità riscontrata su un plugin per il quale, il 15 maggio scorso, avevamo già citato problematiche importanti (qui un approfondimento), evidenziando come la gestione della sicurezza richieda un’attenzione costante da parte degli sviluppatori e degli amministratori di sistema. Purtroppo, la storia tende a ripetersi e il noto strumento per la creazione di pagine si trova nuovamente al centro dell’attenzione della comunità di esperti di cybersecurity. Trattandosi di uno dei componenti aggiuntivi più diffusi nel panorama di WordPress, qualsiasi vulnerabilità riscontrata al suo interno rischia di esporre un numero enorme di piattaforme digitali ad attacchi informatici mirati. L’introduzione di questa nuova problematica mette in luce la fragilità degli ecosistemi complessi, dove anche una singola funzione secondaria può trasformarsi in una vera e impenetrabile porta d’accesso per i malintenzionati.
Di recente, infatti, è stata individuata e dettagliata una nuova vulnerabilità, nel plugin Avada Builder, un plugin premium che conta attualmente un bacino stimato di oltre 1.000.000 di installazioni attive. La problematica risulta essere anche estremamente grave ed è stata identificata con il codice CVE-2026-8713, con un punteggio di gravità CVSS di 9.1, classificato quindi come critico. Il difetto principale è legato a una falla di eliminazione arbitraria di file da parte di utenti non autenticati, il che significa che un attaccante esterno, senza possedere alcun tipo di account o privilegio sul sito della vittima, può cancellare file cruciali residenti sul server. Analizzando l’aspetto tecnico della minaccia, l’attacco sfrutta un’insufficiente convalida dei percorsi dei file all’interno della funzione chiamata maybe_delete_file. Questa debolezza si manifesta quando sul sito è presente e pubblicato un modulo di contatto creato con il builder, configurato per salvare le voci inserite direttamente nel database sul quale un malintenzionato può sfruttare la falla senza bisogno di autenticazione lanciando un semplice payload.
Questa azione apparentemente semplice può degenerare rapidamente in un’esecuzione di codice remoto, poiché eliminando file di configurazione fondamentali come il celebre wp-config.php, il sito viene riportato a uno stato di configurazione iniziale, consentendo all’attaccante di prenderne il controllo completo. Il bug interessa tutte le versioni del plugin fino alla 3.15.3 inclusa. Fortunatamente, il team di sviluppo ha risposto tempestivamente alla segnalazione rilasciando la versione 3.15.4, la quale corregge definitivamente il problema sanando la vulnerabilità. Nonostante questa proattività, è importante tornare a ricordare le due recenti vulnerabilità riscontrate su questo plugin, nonostante fossero di gravità minore.
Questo genere di eventi ci porta a riflettere profondamente sull’importanza di mantenere una postura di sicurezza proattiva e mai passiva. Quando si utilizzano strumenti così diffusi, l’aggiornamento immediato non deve essere considerato un’opzione secondaria, bensì una priorità assoluta per salvaguardare l’integrità del proprio business online. Il consiglio principale per tutti i gestori di siti web che utilizzano Avada Builder è quello di verificare immediatamente la versione installata e aggiornare alla release 3.15.4 oltre a diffondere il messaggio anche a coloro che sappiamo essere utenti dello stesso plugin, vista l’ampia platea di possibili vitime. Inoltre, tra le tante soluzioni di sicurezza che esulano dai meri aggiornamenti, potrebbe essere utile aggiungere ai propri servizi un sistema di monitoraggio ed eventualmente implementare un sistema di backup unito a un web application firewall regolarmente aggiornato. Questa scelta non è un eccesso di prudenza, ma rappresenta la strategia difensiva migliore per mitigare i rischi senza per forza aspettare il rilascio delle patch ufficiali da parte degli sviluppatori, visto e considerato anche che non sempre sono veloci come nel caso appena raccontato.
Fonte: 1
