Alert GCSA-26234 - Vulnerabilita' critica in WordPress

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

   alert ID: GCSA-26234
       data: 25 settembre 2026
     titolo: Vulnerabilita' critica in WordPress

******************************************************************

:: Descrizione del problema

   Sono state rilasciate nuove versioni del CMS WordPress, che risolvono una vulnerabilita' critica.

   Anche la versione 7.1.1, maintenance and security release pubblicata il 17 settembre scorso,
   e' interessata da questo bug critico CVE-2026-87902 (CVSS score of 9.2),
   che risulta essere attivamente sfrutatto in rete.

   Il produttore consiglia di aggiornare immediatamente tutte le installazioni.

   Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

   WordPress versioni precedenti alla 7.1.2
   WordPress versioni precedenti alla 7.0.6
   WordPress versioni precedenti alla 6.9.9
   ...
   WordPress versioni precedenti alla 4.7.37

   Backports

   Verra' effettuato il backport delle correzioni, ove necessario, a tutte le versioni
   idonee a ricevere aggiornamenti di sicurezza (attualmente fino alla 4.7).
   WordPress 4.6 e le versioni precedenti non ricevono più aggiornamenti di sicurezza.
   Si ricorda che solo la versione piu' recente di WordPress e' attivamente supportata.


:: Impatto

   Esecuzione remota di comandi o codice arbitrario (RCE)


:: Soluzioni

   Aggiornare alle versioni piu' recenti.
   Accedere alla Dashboard di WordPress, fare clic su "Aggiornamenti"
   e quindi su "Aggiorna ora", oppure scaricare il file zip dal sito ufficiale

   https://wordpress.org/download/
   https://wordpress.org/download/releases/
   https://wordpress.org/wordpress-7.1.2.zip

   I siti che supportano gli update automatici in background si aggiorneranno automaticamente.

   https://wordpress.org/documentation/wordpress-version/version-7-1-2/
   https://wordpress.org/documentation/article/updating-wordpress/


:: Riferimenti

   WordPress Security Release
   https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
   https://wordpress.org/news/category/security/

   CVE and GHSA references
   https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp

   Bleeping Computer
   https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-critical-wordpress-flaw-for-code-execution/

   The Hacker News
   https://thehackernews.com/2026/09/wordpress-issues-patch-for-critical.html
   https://thehackernews.com/2026/09/attackers-exploit-wordpress-cve-2026.html

   CVE ID
   https://www.cve.org/CVERecord?id=CVE-2026-87902


GARR CERT Newsletter subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCarYxowAKCRDBnEyTZRJg
Qgt2AJsG4Bz6t6IFcuJ32q80BCLrpYT/xQCgr6YcTgfR+kd86tBZP4YhsgWn7AY=
=D+1O
-----END PGP SIGNATURE-----