Alert GCSA-26227 - Aggiornamento di sicurezza per WordPress

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

   alert ID: GCSA-26227
       data: 22 settembre 2026
     titolo: Aggiornamento di sicurezza per WordPress

******************************************************************

:: Descrizione del problema

   Sono state rilasciate versioni aggiornate del CMS WordPress, che risolvono 11 vulnerabilita'.

   Sono stati pubblicati dettagli tecnici e un exploit proof-of-concept per una nuova vulnerabilita'
   di tipo cross-site request forgery (CSRF), soprannominata 'Click2Shell' che colpisce il componente Core della piattaforma.
   Si tratta di una catena di esecuzione di codice remoto pre-autenticata, che consente ad un aggressore
   di installare qualsiasi tema nel catalogo ufficiale di WordPress.org ed eseguire un file PHP arbitrario.

   Il produttore consiglia di aggiornare immediatamente tutte le installazioni.

   Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

   WordPress versioni precedenti alla 7.1.1
   WordPress versioni precedenti alla 7.0.5
   WordPress versioni precedenti alla 6.9.8
   ...
   WordPress versioni precedenti alla 4.7.36

   Backports

   Verra' effettuato il backport delle correzioni, ove necessario, a tutte le versioni
   idonee a ricevere aggiornamenti di sicurezza (attualmente fino alla 4.7).
   WordPress 4.6 e le versioni precedenti non ricevono più aggiornamenti di sicurezza.
   Si ricorda che solo la versione piu' recente di WordPress e' attivamente supportata.


:: Impatto

   Esecuzione remota di comandi o codice arbitrario (RCE)
   Bypass delle funzionalita' di sicurezza (SFB)
   Accesso a dati riservati (ID)
   Cross-site Scripting (XSS)
   Cross-Site Request Forgery (CSRF)
   Attacco all'integrita' dei dati (Data Manipulation)


:: Soluzioni

   Aggiornare alle versioni piu' recenti.
   Accedere alla Dashboard di WordPress, fare clic su "Aggiornamenti"
   e quindi su "Aggiorna ora", oppure scaricare il file zip dal sito ufficiale

   https://wordpress.org/download/
   https://wordpress.org/download/releases/
   https://wordpress.org/wordpress-7.1.1.zip

   I siti che supportano gli update automatici in background si aggiorneranno automaticamente.

   https://wordpress.org/documentation/wordpress-version/version-7-1-1/
   https://wordpress.org/documentation/article/updating-wordpress/


:: Riferimenti

   WordPress Security Release
   https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/
   https://wordpress.org/news/category/security/

   Click2Shell
   https://pwn.ai/blog/click2shell

   Bleeping Computer
   https://www.bleepingcomputer.com/news/security/wordpress-click2shell-flaw-lets-hackers-execute-php-on-the-server/

   WordPress Comment2Shell Flaw
   https://thehackernews.com/2026/09/wordpress-comment2shell-flaw-can-turn.html

   CVE ID
   https://www.cve.org/CVERecord?id=CVE-2026-93485


GARR CERT Newsletter subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCarJS+QAKCRDBnEyTZRJg
Qn+FAJ44fKu1fKHiFsjTgvSKtyJKjYY9+wCgjlFzYPyn7brqwfv5t1ymHrXxunE=
=Dm5E
-----END PGP SIGNATURE-----