wp2shell: cos'è e come proteggere il tuo WordPress

In breve

Il 17 luglio 2026 WordPress ha rilasciato un aggiornamento d'emergenza per una coppia di falle battezzate wp2shell (CVE-2026-63030 e CVE-2026-60137). Sono gravi per due motivi. Primo: sono sfruttabili in preautenticazione, cioè senza login, senza password rubata e senza bisogno di un plugin particolare: basta che il sito sia raggiungibile da internet e giri una versione non aggiornata. Secondo: il codice per sfruttarle è già pubblico e gli attacchi automatici sono partiti nei giorni immediatamente successivi. Se il tuo WordPress è tra le versioni colpite, la sola cosa che conta è aggiornare oggi.

Quali versioni sono colpite

La catena d'attacco completa, quella che porta all'esecuzione di codice sul server, riguarda WordPress dalla 6.9.0 alla 6.9.4 e dalla 7.0.0 alla 7.0.1. Le versioni dalla 6.8.0 alla 6.8.5 condividono solo la metà del problema, cioè la falla che permette di estrarre dati dal database, ma senza la funzione da cui passa l'attacco completo. Le correzioni sono uscite lo stesso giorno: 6.8.6, 6.9.5 e 7.0.2. Chi è su una di queste, o su una versione successiva già rilasciata, è al sicuro da questa falla.

Attenzione a un caso insidioso: WordPress 7.1 non è ancora uscito nella versione finale (prevista per agosto 2026), e la sua prima beta precede di due giorni la correzione. Se il tuo sito dichiara «7.1» senza specificare la build, va verificato a mano: non dare per scontato che «più recente» significhi «corretto».

Come sapere se sei vulnerabile

Il controllo più diretto lo fa chi gestisce il sito: dalla bacheca di WordPress, sotto Bacheca → In evidenza, si legge la versione installata. Se è inferiore a 6.9.5 (o 7.0.2), va aggiornata subito. Se non hai accesso alla bacheca o vuoi una verifica rapida da fuori, il nostro verificatore wp2shell gratuito legge la versione che il sito pubblica normalmente e la confronta con quelle corrette. Non invia nessun tentativo di attacco: sarebbe un rischio per il sito e, su un sito non tuo, un illecito.

Cosa fare, in ordine

1. Aggiorna WordPress alla 6.9.5, alla 7.0.2 o alla 6.8.6, dalla bacheca sotto Aggiornamenti. È questione di minuti.
2. Se il sito lo gestisce un'agenzia, inoltrale questo controllo oggi stesso: non è una manutenzione che può aspettare il prossimo giro.
3. Se sei rimasto scoperto per giorni, controlla gli utenti amministratori, cambia le password admin e fai verificare i file modificati di recente e i log per richieste anomale verso /wp-json/batch/v1.
4. Se non puoi aggiornare subito, come misura tampone si può bloccare l'accesso anonimo agli endpoint batch della REST API da WAF o web server, ma è un ripiego temporaneo, non sostituisce l'aggiornamento.

Vuoi partire dalla verifica? Fai il check wp2shell del tuo sito: trenta secondi, gratis, nessun dato raccolto.