WordPress sotto tiro: oltre 440.000 exploit contro due plugin critici in poche

Attori minacciosi hanno lanciato oltre 440.000 tentativi di exploit contro due vulnerabilità di caricamento file arbitrario non autenticate in plugin WordPress diffusi, raggiungendo il picco di 40.000 richieste in un solo giorno. Le campagne, rilevate da Wordfence, hanno preso di mira CVE-2026-14894 in Super Forms e CVE-2026-32475 in Elementor Pro, entrambe classificate come critiche e entrambe abilitanti l'esecuzione remota di codice sui server delle vittime. I dati emergono il 4 settembre 2026 da un'analisi convergente di fonti tecniche e intelligence di vendor.

Il meccanismo di attacco: come bypassare la validazione su due fronti

Le due vulnerabilità condividono una superficie d'attacco identica — caricamento file non autenticato che porta a web shell PHP — ma implementano tecniche di bypass diverse, entrambe documentate nelle analisi tecniche delle fonti.

Per CVE-2026-14894 in Super Forms, l'exploit invia una richiesta HTTP POST all'endpoint /wp-admin/admin-ajax.php con azione super_submit_form. Il payload è codificato in Base64 all'interno di un campo datauristring, mascherato come image/gif, ma decodifica in una web shell PHP denominata Mushr00w_upl.php. Il file agisce da condotto per payload aggiuntivi, consentendo l'esecuzione di comandi arbitrari sul server. Il commit c5838f5 sul repository GitHub di Super Forms, taggato esplicitamente come v6.3.314, conferma l'introduzione di hardening: neutralizzazione dell'estensione tramite str_replace('.', '_', $stem), validazione dei magic bytes %PDF- e protezione contro path traversal tramite realpath.

Per CVE-2026-32475 in Elementor Pro, la tecnica è più sottile. Secondo l'analisi di Patchstack pubblicata su BleepingComputer, "la validation loop e la processing loop hanno logiche di early-exit diverse per le entry vuote" — un upload multi-part il cui nome file è vuoto, che PHP segnala come UPLOAD_ERR_NO_FILE. L'attaccato sottomette il campo File Upload come array in cui "il primo elemento è vuoto e il secondo elemento trasporta un payload PHP con estensione .php", come riporta Wordfence via The Hacker News. L'elemento vuoto innesca l'uscita anticipata nel ciclo di validazione, mentre il ciclo di elaborazione processa comunque il secondo elemento. Il file caricato viene collocato in /wp-content/uploads/elementor/forms/ con nome generato da uniqid() ma estensione .php fornita dall'attaccante, eseguibile direttamente via richiesta HTTP.

"The validation loop and the processing loop have different early-exit logic for these empty entries, so a carefully shaped multi-part upload can be seen one way by the validator and another way by the mover."

La finestra temporale compressa: exploit same-day per Elementor Pro

La cronologia degli attacchi rivela un pattern disturbante nella commoditizzazione degli exploit WordPress. Per Super Forms, la linea temporale mostra un intervallo di 36 giorni: la divulgazione pubblica risale al 14 luglio 2026, con il picco di 40.000 richieste il 18 agosto e il report di settembre. Questo gap suggerisce una fase iniziale di exploit più contenuto o una diversa dinamica degli attori.

Per Elementor Pro, invece, gli attacchi sono iniziati il 19 agosto 2026 — "lo stesso giorno in cui la vulnerabilità è diventata pubblica", come confermano sia The Hacker News che SecurityOnline.info. BleepingComputer, in un articolo datato 20 agosto 2026, aveva esplicitamente notato che non era stata osservata attività di exploit attiva, prevedendo di un giorno l'inizio effettivo della campagna. Questo collasso della finestra patch-to-exploitation a zero giorni indica che gli attori minacciosi monitorano attivamente le divulgazioni di vulnerabilità e dispongono di tooling pronto per l'impiego immediato.

Il parallelismo tra i due plugin — diversi vendor, diversi meccanismi di bypass, stessa directory di upload compromessa, stesso obiettivo di web shell PHP — suggerisce l'esistenza di strumenti di exploitation commoditizzati per l'ecosistema WordPress, piuttosto che attività mirata di singoli gruppi.

L'impatto sull'ecosistema WordPress: milioni di installazioni esposte

Wordpress alimenta oltre il 43% del web. Elementor, il builder visuale, conta oltre 10 milioni di installazioni attive per la versione base; SecurityOnline.info afferma oltre 6 milioni di siti per Elementor Pro. Super Forms, sebbene con installazioni inferiori, rimane un plugin consolidato per la costruzione di form drag-and-drop. L'esposizione combinata è massiva.

L'esecuzione remota di codice non autenticato abilita il takeover completo del sito: furto di dati, iniezione di spam SEO, cryptomining, movimento laterale nella rete ospitante, e uso del server compromesso come piattaforma per ulteriori attacchi. Wordfence ha bloccato oltre 440.000 tentativi, ma il dato copre solo il traffico intercettato dai suoi sensori. Il numero di siti effettivamente compromessi rimane non quantificato nelle fonti. Inoltre, le fonti sottolineano esplicitamente che l'applicazione della patch non rimuove i file malevoli già caricati durante il periodo di esposizione: un sito aggiornato può ancora ospitare backdoor attive.

Cosa fare adesso

• Verificare immediatamente la versione di Super Forms: aggiornare alla 6.3.314 o successiva, confermata come corretta dal commit GitHub c5838f5 e dalle fonti tecniche.
• Verificare immediatamente la versione di Elementor Pro: aggiornare alla 4.2.2 o successiva, confermata come corretta da The Hacker News, SecurityOnline.info e BleepingComputer/Patchstack.
• Auditare i file presenti in /wp-content/uploads/elementor/forms/ per Elementor Pro e nelle directory di upload di Super Forms alla ricerca di file PHP non autorizzati, data la conferma che le patch non eliminano i backdoor preesistenti.
• Revisionare i log di accesso per richieste a /wp-admin/admin-ajax.php con azione super_submit_form o sottomissioni di array multi-part al campo File Upload di Elementor, cercando payload Base64 o estensioni .php in campi che dovrebbero contenere solo media.

Lettura: quando la patch non basta più

La campagna documenta un'inversione strutturale nella gestione del rischio WordPress. Non più vulnerabilità che attendono settimane prima dell'armamento; non più finestra di grazia per gli amministratori pigri. L'exploit same-day di Elementor Pro, combinato con i 36 giorni di Super Forms, traccia uno spettro di comportamenti degli attori: dal monitoraggio paziente delle divulgazioni all'impiego immediato di tooling preconfezionato.

Il dato più rilevante per la sicurezza operativa non è il numero di tentativi bloccati, ma ciò che le fonti non dicono: nessuna attribuzione a gruppi specifici, nessuna stima dei successi, nessuna mappa geografica significativa. Questa opacità, in un ecosistema dove oltre 440.000 tentativi generano solo un segnale aggregato, è essa stessa un indicatore della scalabilità dell'automazione offensiva. La posta in gioco non è più la singola vulnerabilità, ma la velocità con cui l'infrastruttura di aggiornamento di milioni di siti indipendenti può reagire a una minaccia che si materializza nello stesso giorno della sua rivelazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/over-440000-exploit-attempts-target.html
• https://nvd.nist.gov/vuln/detail/CVE-2026-14894
• https://www.theexploitdesk.tech/article/cve-2026-14894-cvss-9-8-critical-the-super-forms-drag-drop-form-builde-67037c
• https://securityonline.info/elementor-pro-vulnerability/
• https://www.bleepingcomputer.com/news/security/critical-elementor-pro-bug-exposes-wordpress-sites-to-rce-attacks/
• https://github.com/RensTillmann/super-forms/commit/c5838f5877c72b738c54ed970935c77ae6830c3a
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence