Il tuo WordPress è vulnerabile a wp2shell?
A luglio 2026 è emersa una falla che permette di prendere il controllo di un sito WordPress senza conoscerne la password. È già sfruttata da attacchi automatici. Scopri in pochi secondi se la tua versione è tra quelle colpite.
Gratuito davvero. Nessuna registrazione, nessuna email, nessun limite, nessun cookie. Non salviamo l'URL che analizzi.
Caricamento della verifica di sicurezza…
Cos'è successo, in due minuti
Il 17 luglio 2026 WordPress ha rilasciato un aggiornamento d'emergenza per una coppia di falle battezzate wp2shell. La gravità sta in una parola: preautenticazione. Significa che per sfruttarle non serve avere un account sul sito, non serve una password rubata, non serve che tu abbia installato un plugin sfortunato. Basta che il tuo sito sia raggiungibile da internet e che giri su una versione non aggiornata. Chi ci riesce ottiene la possibilità di eseguire codice sul server: da lì può fare qualsiasi cosa, dall'inserire pagine di spam invisibili al rubare l'archivio dei contatti.
La seconda parola che conta è pubblico. Il codice per sfruttare la falla è già circolato apertamente, e gli attacchi sono partiti nei giorni immediatamente successivi alla scoperta. Non si tratta di attaccanti che scelgono le loro vittime: sono programmi automatici che passano al setaccio milioni di indirizzi cercando versioni vecchie. Un sito piccolo non è meno interessante di uno grande: anzi, è più facile da colpire, perché ha meno probabilità di essere aggiornato in fretta.
Cosa controlla questo strumento (e cosa non fa)
Cerchiamo il numero di versione di WordPress dove il tuo sito lo pubblica normalmente: il tag generator nella home page, il feed RSS, l'indice delle funzioni pubbliche, il file readme lasciato accessibile. Poi confrontiamo quel numero con l'elenco delle versioni colpite. Controlliamo anche se la funzione da cui passa l'attacco è raggiungibile dall'esterno, come indizio in più quando la versione non è leggibile.
Quello che non facciamo è provare ad attaccare il tuo sito per vedere se cede. Sarebbe l'unico modo per avere una risposta certa al cento per cento, ed è esattamente per questo che gli strumenti che lo fanno vanno usati solo sui siti di cui si è proprietari, con cautela: un tentativo di exploit può lasciare tracce, sporcare il database o mandare in errore il sito. Qui chiunque può inserire qualunque indirizzo, quindi la scelta è obbligata e la dichiariamo: analisi passiva, verdetto onesto sui suoi limiti.
Cosa fare se il risultato è rosso
Aggiornare, oggi. Non è una manutenzione da rimandare al prossimo intervento programmato: ogni giorno che passa il sito resta esposto a scansioni automatiche. Dalla bacheca di WordPress vai su Aggiornamenti e premi «Aggiorna ora»; la versione da raggiungere è la 6.9.5 o la 7.0.2 (la 6.8.6 se il sito è fermo sul ramo 6.8). Se il sito lo cura un'agenzia o uno sviluppatore, copia il report con il pulsante qui sopra e mandaglielo: contiene la versione rilevata e la versione corretta, cioè tutto quello che serve per capirsi in una riga.
Se il sito è rimasto scoperto per giorni, dopo l'aggiornamento serve un controllo in più. Il CERT-AGID indica i segnali da cercare: richieste anomale verso /wp-json/batch/v1 e ?rest_route=/batch/v1 nei log del server, nuovi account amministratore, modifiche inattese ai file del sito, plugin o temi sconosciuti, file PHP che non appartengono all'installazione, operazioni anomale sul database, cambiamenti alle configurazioni o alle credenziali. L'aggiornamento chiude la porta, ma non fa uscire chi fosse già entrato.
Se qualcuno di questi segnali c'è, il solo aggiornamento non basta: il sistema va isolato, le prove vanno conservate per l'analisi, e password, token e chiavi raggiungibili dal sito vanno considerati compromessi e sostituiti. E se proprio non puoi aggiornare subito, bloccare l'accesso anonimo agli endpoint batch della REST API da WAF o dal web server è una misura tampone: può interferire con funzioni legittime e non sostituisce l'installazione della versione corretta.
Già che ci sei, gli altri controlli sul sito li trovi nella pagina degli strumenti: dalla velocità all'accessibilità, tutti gratuiti e senza registrazione.
Domande frequenti
›Cos'è wp2shell, in parole semplici?
È una falla nel cuore di WordPress, scoperta a luglio 2026, che permette a un estraneo di eseguire comandi sul tuo sito senza avere né password né account. In pratica: chi la sfrutta diventa padrone del sito e può inserire pagine di spam, rubare i dati dei clienti, reindirizzare i visitatori o cancellare tutto. Tecnicamente sono due difetti concatenati, CVE-2026-63030 e CVE-2026-60137. Non serve alcun plugin particolare per essere colpiti: basta avere una versione di WordPress non aggiornata.
›Quali versioni di WordPress sono colpite?
Le versioni dalla 6.9 alla 6.9.4 e dalla 7.0 alla 7.0.1 sono esposte alla falla completa. Le versioni dalla 6.8 alla 6.8.5 sono esposte alla metà del problema, quella che riguarda il database. Le correzioni sono uscite il 17 luglio 2026: aggiornando alla 6.9.5, alla 7.0.2 o alla 6.8.6 il problema è chiuso.
›Il mio sito si aggiorna da solo: sono al sicuro?
Probabilmente sì, ma vale la pena verificarlo invece di darlo per scontato. WordPress ha forzato l'aggiornamento sui siti che hanno gli aggiornamenti automatici attivi, però capita spesso che siano stati disattivati anni prima, magari da un'agenzia, da un plugin di sicurezza o da una configurazione dell'hosting, senza che il proprietario del sito lo sappia. Questo controllo ti dice quale versione il tuo sito dichiara oggi.
›Questo strumento attacca il mio sito per verificarlo?
No, mai, e non lo farebbe nemmeno sul tuo. Leggiamo soltanto pagine pubbliche che il tuo sito mostra a chiunque, come la home, il feed RSS, l'indice delle funzioni di WordPress, e confrontiamo il numero di versione dichiarato con quelle corrette. Non inviamo nessun tentativo di sfruttare la falla. È una scelta precisa: un test che attacca davvero il sito rischia di danneggiarlo, e su un sito di cui non possiamo verificare la proprietà sarebbe semplicemente un attacco informatico.
›Il risultato è verde: posso stare tranquillo?
Vuol dire che la versione dichiarata dal tuo sito contiene già la correzione, ed è la cosa più importante. Due avvertenze oneste, però. La prima: leggiamo la versione dichiarata, e un sito compromesso o mal configurato può dichiararne una diversa da quella reale. La seconda, più seria: se il sito è rimasto scoperto nei giorni dopo il 17 luglio 2026, aggiornare chiude la porta ma non caccia chi fosse già entrato. Se hai il sospetto di essere stato colpito, servono un controllo degli utenti amministratori e una verifica dei file modificati di recente.
›Il risultato dice che non riuscite a leggere la versione: è grave?
No, e anzi nascondere il numero di versione è una buona pratica di sicurezza: semplicemente lascia ciechi anche noi. In quel caso la verifica va fatta a mano: chi gestisce il sito entra nella bacheca di WordPress e legge la versione installata sotto Bacheca, In evidenza. Se è inferiore alla 6.9.5 (o alla 7.0.2), va aggiornata subito.
›Non uso WordPress: la falla mi riguarda?
No. wp2shell è un difetto del codice di WordPress: se il tuo sito è fatto con un altro sistema, o è un sito realizzato su misura, questa specifica falla non ti tocca. Lo strumento te lo dice esplicitamente quando non trova traccia di WordPress.