Elementor Pro, falla critica nei moduli: un upload può portare all’esecuzione di codice

La vulnerabilità consente di caricare uno script PHP

Una vulnerabilità critica in Elementor Pro può permettere a un aggressore di caricare un file PHP sul server WordPress ed eseguirlo da remoto. Il problema è identificato come CVE-2026-32475 e interessa le versioni di Elementor Pro precedenti alla 4.2.2.

La falla riguarda il modulo File Upload, utilizzato nei form creati con Elementor. In condizioni specifiche, un attaccante può aggirare i controlli sul contenuto caricato e trasferire uno script in una directory accessibile pubblicamente:

wp-content/uploads/elementor/forms/

Il file può poi essere richiamato tramite HTTP. Se il server interpreta PHP nella directory interessata, il codice viene eseguito con i privilegi dell’account utilizzato dal web server.

La valutazione registrata per la vulnerabilità è CVSS 9, con vettore:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

L’attacco non richiede necessariamente credenziali o interazione dell’utente, ma presenta una complessità elevata legata alla costruzione della richiesta e all’individuazione del nome assegnato al file.

Il difetto nasce dalla gestione incoerente dei file vuoti

L’origine tecnica è nel modo in cui Elementor Pro valida e processa gli elementi di una richiesta multipart.

Il componente utilizza due cicli distinti: uno controlla i file ricevuti, mentre l’altro gestisce effettivamente il trasferimento. I due percorsi non trattano allo stesso modo una parte dell’upload con nome vuoto, condizione che PHP identifica con l’errore UPLOAD_ERR_NO_FILE.

La richiesta malevola può iniziare con una parte priva di filename e contenere subito dopo un file PHP. Il validatore interpreta il primo elemento come non valido e interrompe l’analisi. Di conseguenza, non esamina il secondo elemento.

La routine di elaborazione segue invece un comportamento diverso: ignora la parte vuota e continua a processare ciò che viene dopo. Il file PHP viene quindi copiato nella directory degli upload di Elementor, nonostante il controllo precedente non abbia completato la verifica dell’intera richiesta.

Il nome del file viene generato tramite uniqid(). Il valore prodotto dipende dal tempo e non offre una casualità effettiva. Un aggressore può perciò tentare di ricostruire il nome usando un brute force temporale. In alcune configurazioni, il percorso completo può anche comparire in un’e-mail generata automaticamente dal modulo.

Una volta individuato l’URL, l’attaccante può inviare una richiesta al file. Il server passa il contenuto all’interprete PHP e avvia il codice con i permessi dell’utente del web server.

Chi è realmente esposto

Elementor Pro è l’edizione a pagamento del page builder per WordPress Elementor e supera 10 milioni di installazioni attive. Include, tra le altre funzioni, moduli avanzati, strumenti per temi e popup, CSS e codice personalizzati e componenti per siti di commercio elettronico.

La presenza del plugin, da sola, non basta però a determinare l’esposizione alla CVE-2026-32475. Il sito deve avere:

• almeno un modulo Elementor pubblicato;
• un campo File Upload all’interno del modulo;
• l’opzione per caricare più file attivata.

Quest’ultima impostazione è disabilitata per impostazione predefinita. Elementor ha quindi comunicato che i siti che non utilizzano questa configurazione non sono interessati dalla specifica vulnerabilità. L’aggiornamento resta comunque raccomandato, perché rimuove il difetto dal componente.

La conseguenza più grave è la possibilità di ottenere esecuzione di codice sul server. A seconda dei privilegi disponibili, l’attaccante potrebbe modificare le pagine, sostituire contenuti, installare malware, leggere dati accessibili all’account web e usare il sito compromesso per ulteriori attacchi.

Non sono riportati, al momento, casi di sfruttamento attivo osservati in natura.

Scoperta, correzione e stato nei cataloghi di rischio

La vulnerabilità è stata individuata da Tin Pham e segnalata a Patchstack il 16 luglio. Le informazioni sono state poi condivise con il team di Elementor, che ha preparato una correzione il giorno successivo.

Patchstack ha verificato la correzione il 3 agosto. La versione verificata è stata consegnata il giorno precedente alla pubblicazione dell’articolo, datato 20 agosto 2026 alle 10:39.

Non è noto che CVE-2026-32475 sia inclusa nel catalogo Known Exploited Vulnerabilities (KEV) della CISA. Non sono inoltre disponibili informazioni su eventuali precedenti recenti di Elementor nel catalogo KEV. L’assenza di una segnalazione KEV non elimina il rischio: la vulnerabilità consente comunque una compromissione completa del sito in presenza della configurazione esposta.

Cosa devono fare gli amministratori

La misura principale consiste nell’aggiornare Elementor Pro alla versione più recente disponibile, verificando che sia almeno la 4.2.2. L’aggiornamento deve essere applicato anche ai siti nei quali il caricamento multiplo non è stato attivato, per evitare di mantenere installata una versione vulnerabile.

Gli amministratori dovrebbero inoltre:

1. verificare quali moduli pubblicati contengono un campo File Upload;
2. controllare se il caricamento di più file è attivo;
3. esaminare la directory wp-content/uploads/elementor/forms/;
4. cercare file PHP inattesi, nomi anomali o file non riconducibili alle normali attività del sito;
5. analizzare i file caricati durante il periodo in cui il plugin era vulnerabile;
6. controllare i log HTTP alla ricerca di richieste verso file sospetti nella directory.

In attesa dell’aggiornamento, disattivare il caricamento multiplo nei moduli interessati riduce la condizione necessaria all’attacco. È una misura temporanea e non sostituisce la patch.

L’aggiornamento, inoltre, non rimuove automaticamente eventuali payload già caricati. Se vengono trovati script sospetti, non basta cancellarli senza ulteriori verifiche: occorre valutare i log, cercare richieste verso quei file e controllare il sistema per individuare modifiche persistenti, account alterati o altri componenti introdotti dall’aggressore.