Spett.le Visitatore,

il CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale ha pubblicato un avviso relativo a due nuove vulnerabilità del core di WordPress, identificate come CVE-2026-60137 e CVE-2026-63030, per le quali è stata resa disponibile pubblicamente anche una prova di sfruttamento.

Le vulnerabilità riguardano:

un’iniezione SQL nella gestione di alcuni parametri utilizzati da WordPress per interrogare il database;

un’anomalia nell’endpoint batch delle API REST che, combinata con la precedente vulnerabilità, può consentire l’esecuzione remota di codice senza autenticazione.


Le versioni interessate sono WordPress da 6.8.0 a 6.8.5 per la vulnerabilità SQL e WordPress da 6.9.0 a 6.9.4 e da 7.0.0 a 7.0.1 per la catena di attacco più grave.


Il mantenimento online di un’installazione vulnerabile può esporre il sito a rischi rilevanti, tra cui:

- accesso, sottrazione o alterazione dei dati presenti nel database;
- acquisizione di credenziali e privilegi amministrativi;
- esecuzione di codice arbitrario sul server;
- installazione di webshell o altro codice malevolo;
- compromissione completa del sito;
- alterazione o cancellazione dei contenuti;
- indisponibilità dei servizi ed eventuale violazione dei dati personali trattati.


Contestualmente alla pubblicazione dell’avviso del CSIRT Italia, Netlogica è intervenuta immediatamente applicando una mitigazione di sicurezza a livello web server e WAF/ModSecurity in modo da bloccare questo tipo di attacco PRIMA che possa giungere al suo target.

In particolare, è stato bloccato preventivamente l’accesso all’endpoint REST coinvolto nella vulnerabilità, comprese le differenti modalità con cui potrebbe essere richiamato. La protezione opera prima che la richiesta raggiunga WordPress e impedisce pertanto lo sfruttamento della catena di attacco resa pubblica. Sono stati inoltre attivati il monitoraggio delle richieste anomale e la registrazione degli eventuali tentativi di accesso all’endpoint vulnerabile.



Riferimenti tecnici:

Avviso CSIRT Italia / ACN:
WordPress: PoC pubblico per lo sfruttamento delle CVE-2026-60137 e CVE-2026-63030

Comunicazione ufficiale WordPress:
WordPress 7.0.2 Security Release

Ulteriore riferimento tecnico:
Documentazione WordPress 7.0.2 e file corretti