Exploit attivi nel plugin WooCommerce Wholesale Lead Capture: il caso del gap

Threat actor stanno sfruttando attivamente CVE-2026-27540, una vulnerabilità di caricamento file arbitrario senza autenticazione nel plugin WordPress WooCommerce Wholesale Lead Capture. La patch è disponibile dal 20 febbraio 2026, ma Wordfence ha registrato oltre 100.000 tentativi di exploit bloccati tra giugno e settembre. La discrepanza tra rilascio della correzione e attività ostile svela un pattern ricorrente nell'ecosistema dei plugin commerciali per WordPress.

Come funziona il bypass: il controllo affidato all'attaccante

La vulnerabilità risiede nel modo in cui il plugin gestisce il caricamento file tramite l'azione AJAX wwlc_file_upload_handler. Il controllo sulle estensioni permesse non si basa su una configurazione server-side affidabile, ma legge il parametro file_settings inviato dalla richiesta HTTP dell'utente.

Un attaccante può forgiare questo parametro per includere php nell'elenco dei tipi consentiti, eludendo così il filtro sulle estensioni. Secondo il codice vulnerabile citato nell'avviso Wordfence, il plugin utilizza direttamente $_REQUEST['file_settings'] per determinare quali file accettare. Questa architettura trasforma il meccanismo di sicurezza in un veicolo di bypass: chi attacca definisce autonomamente le regole che dovrebbero bloccarlo.

Il payload osservato in natura è un file shell.php che, una caricato, esegue php_uname() per raccogliere informazioni sul sistema ospitante e presenta un modulo HTML per il caricamento browser di file aggiuntivi. La presenza di questa interfaccia grafica nel web shell indica una progettazione orientata alla persistenza e all'espansione successiva del compromesso.

"Il firewall Wordfence ha bloccato oltre 100.000 tentativi di exploit" — Wordfence, via The Hacker News

Timeline e traiettoria degli attacchi: picchi misurati nel 2026

La telemetria Wordfence documenta tre ondate principali: 4-17 giugno, 1 luglio e 30 agosto. Questa distribuzione temporale suggerisce attività non continua ma concentrata, possibilmente legata a cicli di scansione automatizzata o alla messa a punto di toolchain di exploit.

L'indirizzo IP 92.241.13.213 risulta l'origine più attiva con oltre 24.900 richieste bloccate, seguito da 31.59.129.150 con oltre 24.000 e dall'IPv6 2a0f:85c1:840:5389::1 con oltre 16.000. Questa concentrazione geografica e infrastrutturale, pur non permettendo attribuzione a gruppo specifico, indica che l'attività non è sporadica ma sostenuta da operatori con risorse e persistenza nel target.

The Hacker News segnalava 99 tentativi nelle 24 ore precedenti al 16 settembre 2026: la campagna è in corso al momento della pubblicazione.

Il gap di sette mesi: patch presente, exploit attivo

La falla è stata scoperta dal ricercatore Teemu Saarentaus attraverso il Patchstack Bug Bounty Program. La correzione è stata distribuita il 20 febbraio 2026 con la versione 2.0.3.2 del plugin. Nonostante ciò, la prima ondata di attacchi documentata è scattata a giugno, quattro mesi dopo il rilascio.

Questo intervallo riproduce una dinamica strutturale dell'ecosistema WordPress. Il core della piattaforma beneficia da aggiornamenti automatici consolidati, ma i plugin di terze parti — specialmente quelli commerciali con distribuzione fuori dal repository ufficiale wordpress.org — dipendono da flussi di notifica e azione manuali da parte degli amministratori di sito. Il risultato è una popolazione di installazioni vulnerabili che rimane esposta anche dopo la disponibilità della patch, alimentando il targeting da parte di threat actor.

Per i circa 6.000 siti che utilizzano il plugin, la combinazione di dati e-commerce (registrazioni cliente, informazioni di pagamento, cataloghi prezzi B2B) e accesso RCE non autenticato espone a rischi di furto dati, hosting di infrastrutture di phishing, iniezione di skimmer di pagamento o compromissione a valle della supply chain verso i clienti finali.

Cosa fare adesso

• Verificare la versione installata: aggiornare immediatamente a WooCommerce Wholesale Lead Capture 2.0.3.2 o successiva, l'unica versione che corregge CVE-2026-27540.
• Ispezionare i log del server: cercare richieste POST all'endpoint wwlc_file_upload_handler con parametri file_settings anomali, in particolare estensioni php inserite in elenchi che normalmente prevedono solo formati di immagine.
• Cercare file sospetti: individuare eventuali shell.php o file PHP non documentati nelle directory di caricamento del plugin, con attenzione a timestamp compresi tra febbraio e giugno 2026.
• Valutare il periodo pre-patch: se il sito ha eseguito versioni vulnerabili tra il 20 febbraio e la data di aggiornamento effettivo, considerare l'ipotesi di compromissione precedente e procedere a indagine forense anziché limitarsi all'applicazione della correzione.

L'ecosistema WordPress e il limite dell'auto-aggiornamento selettivo

Il caso Wholesale Lead Capture esemplifica una contraddizione tecnica e di governance. La piattaforma WordPress ha implementato negli anni meccanismi di aggiornamento automatico per il core, ma la frammentazione del canale di distribuzione dei plugin commerciali lascia falle aperte. Quando un componente gestisce dati sensibili e transazioni — come nel caso dell'e-commerce B2B — la latenza tra disponibilità della patch e applicazione effettiva diventa un parametro di rischio misurabile in compromessi.

Non emergono nel dossier sovrapposizioni infrastrutturali che colleghino gli IP attivi a gruppi threat noti, né è documentato l'impiego sistematico di payload secondari oltre al web shell iniziale. Questi limiti non riducono la gravità del vettore: l'esecuzione remota di codice non autenticata su piattaforme e-commerce rimane una superficie d'attacco prioritaria per operatori sia opportunisti che mirati.

Domande frequenti

Il mio sito è aggiornato: sono al sicuro?

L'aggiornamento alla 2.0.3.2 chiude la vulnerabilità ma non rimuove eventuali compromessi avvenuti nei mesi precedenti. Se il sito ha eseguito versioni vulnerabili nel periodo febbraio-giugno 2026, la sola patch non è sufficiente a escludere persistenza di accessi non autorizzati.

Perché il punteggio CVSS differisce tra fonti?

Il record ufficiale CVE.org assegna 9.0, mentre testate specializzate come The Hacker News, GBHackers e CyberSecurityNews riportano 9.8. Entrambi i valori collocano la vulnerabilità nella fascia critica, ma la discrepanza riflette possibili diverse valutazioni del vettore di attacco o della complessità condizionale. Il vettore ufficiale CVE.org specifica AC:H (alta complessità di attacco), che può spiegare il punteggio più contenuto rispetto alle stime iniziali.

Il plugin fa parte di WooCommerce ufficiale?

No. WooCommerce Wholesale Lead Capture è un'estensione di terze parti sviluppata da Rymera Web Co, non un componente del core WooCommerce o di WordPress. La vulnerabilità non interessa le installazioni che non includono questo plugin specifico.

Fonti

• https://thehackernews.com/2026/09/attackers-exploit-woocommerce-wholesale.html
• https://www.bleepingcomputer.com/news/security/hackers-target-wordpress-sites-via-third-party-woocommerce-plugin/
• https://securityonline.info/woocommerce-wholesale-lead-capture-vulnerability/
• https://malware.news/t/attackers-actively-exploiting-critical-vulnerability-in-woocommerce-wholesale-lead-capture-plugin/125575
• https://the420.in/woocommerce-wholesale-lead-capture-cve-2026-27540-wordpress-attacks/
• https://cybersecuritynews.com/hackers-exploit-woocommerce-plugin/
• https://gbhackers.com/woocommerce-plugin-vulnerability/
• https://www.cve.org/CVERecord?id=CVE-2026-27540
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/search/label/Vulnerability

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti