Il 19 agosto 2026 Elementor ha rilasciato la versione 4.2.2, che corregge CVE-2026-32475, una vulnerabilità con punteggio CVSS 9.0 nella funzione File Upload di Elementor Pro. Il bug permette a chiunque di caricare codice PHP eseguibile senza autenticarsi, ma il fix era pronto dal 17 luglio. L'intervallo di 34 giorni tra correzione sviluppata e distribuzione ufficiale espone a una domanda scomoda: perché la supply chain dei plugin WordPress non prevede meccanismi di embargo enforcement per flaw così gravi.
- CVE-2026-32475 ha punteggio CVSS 9.0 ed è classificata come critica secondo il framework MITRE.
- L'attacco richiede solo una pagina pubblica con Form widget e File Upload field, configurazione estremamente comune per moduli di candidatura, supporto e ricevute.
- Il meccanismo sfrutta una desincronizzazione tra il loop di validazione e quello di elaborazione nel file upload.php, con empty filename nel primo part che bypassa il blocco estensioni.
- L'aggiornamento alla 4.2.2 chiude la vulnerabilità ma non elimina eventuali file malevoli già caricati, secondo quanto documenta la fonte.
Come funziona l'attacco: due loop, una scappatoia
La falla risiede in modules/forms/fields/upload.php. Quando un modulo riceve un upload multipart, la funzione validation() scorre i part del file. Se il primo part ha filename vuoto, restituisce UPLOAD_ERR_NO_FILE ed esce prematuramente. La funzione process_field() invece salta il part vuoto e continua a elaborare i part successivi.
Un attaccante invia due part per lo stesso campo: il primo con filename vuoto, il secondo con payload PHP. Il validatore vede l'errore e considera sicura la richiesta; il processore scrive il file in wp-content/uploads/elementor/forms/<uniqid>.php. La directory è pubblica, il file è eseguibile.
"The validation loop and the processing loop have different early-exit logic for these empty entries, so a carefully shaped multi-part upload can be seen one way by the validator and another way by the mover" — Patchstack, via BleepingComputer
La determinazione del nome file: brute-force o esfiltrazione
Il nome file generato tramite uniqid() è predicibile: i primi 8 caratteri esadecimali corrispondono all'epoch in secondi, i rimanenti 5 ai microsecondi. Secondo le analisi tecniche disponibili, un attaccante può derivare la porzione temporale dall'header Date della risposta HTTP e forzare la parte rimanente con un numero limitato di tentativi.
Esiste anche un percorso alternativo. L'autoresponder email del modulo Elementor, se configurato, include l'URL esatto del file caricato. Questo permette l'esecuzione remota senza alcun brute-force, riducendo l'attacco a una singola richiesta HTTP.
Precondizione banale, superficie d'attacco vasta
La vulnerabilità non richiede credenziali, cookie di sessione o privilegi speciali. L'unico prerequisito è una pagina pubblica con Form widget contenente File Upload field. Il campo Required è disattivato di default nell'interfaccia Elementor, il che significa che il modulo accetta la sottomissione anche senza file legittimo.
Patchstack ha caratterizzato questa configurazione come "extremely common, everyday". Form di candidatura, allegati foto/ID, ricevute di pagamento, ticket di supporto: tutti usano il widget File Upload. Gli identificatori necessari — post ID, form ID, field name — sono leggibili nel sorgente HTML della pagina pubblica.
"By submitting two file parts for the same field, an unauthenticated attacker skips the extension blocklist entirely and writes a PHP file into a public directory" — Patchstack, via The Hacker News
Timeline: 34 giorni tra fix pronto e distribuzione
Il ricercatore Tin Pham, noto come TF1T, ha segnalato la vulnerabilità tramite il Patchstack Bug Bounty Program il 16 luglio 2026. Elementor ha preparato il fix il giorno successivo. La verifica interna è stata completata il 3 agosto. La versione 4.2.2 è uscita il 19 agosto.
Il brief non documenta la motivazione ufficiale di questo ritardo. Ciò che le fonti confermano è l'intervallo: 34 giorni in cui il codice corretto esisteva ma non era distribuito agli utenti. Nessun meccanismo di forced update o embargo enforcement ha accelerato la diffusione per una vulnerabilità classificata come critica.
Nessuna exploitation osservata, ma la postura cambia dopo la disclosure
Al momento della pubblicazione, le fonti concordano nel riportare assenza di exploitation attiva in-the-wild. Questo dato si riferisce al momento della disclosure e non esclude sviluppi successivi. La natura completamente non autenticata del vettore, la replicabilità del payload e la predicibilità del nome file riducono significativamente la barriera all'uso da parte di operatori opportunistici.
Perché è importante
Il brief non specifica misure correttive aggiuntive raccomandate da Elementor o Patchstack oltre all'aggiornamento alla 4.2.2. La fonte non elenca controlli di integrità pre-esistenti, scansioni filesystem o procedure di verifica post-patch. Il dossier non documenta se Elementor abbia notificato direttamente gli utenti Pro o se esista un canale di security advisory dedicato.
Il gap di 34 giorni solleva un problema strutturale. WordPress non dispone di meccanismi obbligatori di aggiornamento forzato per plugin premium; la responsabilità rimane sui singoli gestori di sito. Per una vulnerabilità con CVSS 9.0 e attacco non autenticato, questo modello distribuisce il rischio su milioni di installazioni senza garanzie di copertura tempestiva.
L'impatto non è teorico. Elementor è tra i builder più diffusi nell'ecosistema WordPress; la versione base supera i 10 milioni di installazioni attive. Elementor Pro, distribuito su licenza commerciale, alimenta siti aziendali, e-commerce e piattaforme di membership dove la compromissione completa del server ha conseguenze dirette su dati clienti e operatività.
"Updating closes the hole but does not remove a shell already on disk", annota l'analisi Patchstack via CyberKendra. L'aggiornamento è condizione necessaria ma non sufficiente per la remediation. La fonte non specifica se Elementor abbia rilasciato indicazioni per l'audit di file pre-esistenti, lasciando un punto di incertezza operativa per gli amministratori.
Domande e risposte
La mia installazione Elementor Pro è a rischio se non uso i form con upload?
Il brief documenta che la vulnerabilità si attiva attraverso il File Upload field del Form widget. Se il sito non espone moduli con questa funzione abilitata, il vettore specifico non è disponibile. La fonte non tratta altri percorsi di attacco per CVE-2026-32475.
L'aggiornamento automatico WordPress non ha protetto i siti?
Il brief non documenta se Elementor Pro 4.2.2 sia stato distribuito tramite aggiornamento automatico o richieda intervento manuale. WordPress abilita gli auto-update per i plugin del repository pubblico, non necessariamente per i premium distribuiti tramite canale proprietario.
Come posso verificare se il mio sito è già stato compromesso?
La fonte non fornisce indicatori di compromissione specifici o hash di file noti. Il brief non elenca comandi, path di shell tipici o pattern di richiesta malevola da cercare nei log. L'analisi post-incidente non è documentata nelle fonti disponibili.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.hendryadrian.com/elementor-pro-flaw-could-let-unauthenticated-attackers-upload-php-and-execute-code/
- https://www.scworld.com/brief/critical-vulnerability-in-elementor-pro-allows-unauthenticated-file-upload-and-rce
- https://www.cyberkendra.com/2026/08/elementor-pro-rce-flaw-cve-2026-32475.html
- https://www.bleepingcomputer.com/news/security/critical-elementor-pro-bug-exposes-wordpress-sites-to-rce-attacks/
- https://www.esecurityplanet.com/newsletter/cybersecurity-insider/2026-08-24/
- https://thehackernews.com/2026/08/elementor-pro-flaw-could-let.html
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.