Gli aggressori sfruttano una falla nel plugin WooCommerce per installare web shell PHP

I criminali informatici stanno sfruttando attivamente una vulnerabilità critica nel caricamento dei file di WooCommerce Wholesale Lead Capture, un plugin premium per WordPress utilizzato da oltre 6.000 siti web.

La falla, identificata come CVE-2026-27540, consente a un aggressore non autenticato di caricare file arbitrari su un server vulnerabile. Tra questi possono esserci backdoor PHP eseguibili, che offrono all’aggressore una via per l’esecuzione di codice da remoto e, potenzialmente, il controllo completo dell’installazione WordPress.

Wordfence ha bloccato oltre 100.000 tentativi di sfruttamento da giugno 2026. Nelle 24 ore precedenti alla pubblicazione del suo rapporto ha registrato 99 tentativi, a conferma del fatto che le attività di scansione e sfruttamento sono ancora in corso.

La segnalazione descrive inoltre due vulnerabilità di esecuzione del codice senza autenticazione in The Events Calendar, un altro plugin per WordPress installato su oltre 600.000 siti. Per queste falle sono disponibili versioni correttive, mentre non è stata identificata alcuna versione corretta confermata di WooCommerce Wholesale Lead Capture.

Impostazioni di caricamento contraffatte consentono di installare codice PHP

CVE-2026-27540 interessa WooCommerce Wholesale Lead Capture fino alla versione 2.0.3.1 inclusa. Il plugin è sviluppato da Rymera Web Co Pty Ltd.

Il componente vulnerabile è l’azione AJAX di WordPress:

wwlc_file_upload_handler

Il gestore non verifica adeguatamente il tipo di file caricato. Per raggiungere la funzionalità vulnerabile, a un aggressore non servono né un account WordPress né altri privilegi.

Gli attacchi osservati inviano una richiesta appositamente predisposta contenente un parametro file_settings contraffatto. In questo modo il server accetta un file controllato dall’aggressore, anche se contiene codice PHP eseguibile.

Nella campagna documentata da Wordfence, il payload caricato aveva il nome:

shell.php

Il file funziona come una web shell accessibile dal browser. Visualizza informazioni sull’host compromesso e fornisce un modulo di caricamento attraverso il quale l’aggressore può scrivere altri file nell’installazione WordPress.

Il primo file, quindi, non è necessariamente il payload finale. Gli aggressori possono usarlo per installare backdoor più avanzate, modificare il codice dell’applicazione, sottrarre segreti di configurazione, alterare i contenuti o creare ulteriori meccanismi di persistenza.

La vulnerabilità è classificata come CWE-434, ovvero caricamento senza restrizioni di file con un tipo pericoloso. Il punteggio CVSS v3.1 è 9,0, con il vettore:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Il vettore descrive un attacco accessibile dalla rete che non richiede privilegi né l’interazione dell’utente. Attribuisce una complessità di attacco elevata, ma anche un impatto elevato su riservatezza, integrità e disponibilità, con il superamento di un confine di sicurezza. Alcune segnalazioni, citando Wordfence, hanno assegnato alla vulnerabilità il punteggio più alto di 9,8.

Log e directory di caricamento offrono gli indizi più chiari

Gli amministratori dovrebbero cercare nei log del server web, del reverse proxy, del firewall e di WordPress le richieste dirette a:

/wp-admin/admin-ajax.php

L’indicatore più significativo a livello di richiesta è un parametro action contenente:

wwlc_file_upload_handler

Una richiesta a questa action non dimostra da sola che la compromissione sia riuscita. I responsabili della difesa dovrebbero correlarla ai codici di risposta HTTP, agli eventi di creazione dei file, all’esecuzione di PHP e alle richieste successive rivolte alle risorse appena caricate.

I seguenti indirizzi sono stati associati a tentativi di sfruttamento osservati:

92.241.13.213
31.59.129.150
2a0f:85c1:840:5389::1
92.241.13.140
23.137.105.214
23.180.120.140
104.194.9.138
187.75.114.36
114.10.43.203
37.114.144.209

Questi indicatori possono supportare le ricerche retrospettive e il blocco temporaneo, ma non devono essere considerati un elenco completo degli aggressori. Lo sfruttamento può provenire da indirizzi diversi, comprese infrastrutture compromesse.

Le verifiche del file system dovrebbero concentrarsi sui file .php creati o modificati di recente, in particolare nelle directory di caricamento di WordPress, dove normalmente non ci si aspetterebbe di trovare codice eseguibile. I responsabili della difesa dovrebbero cercare in modo specifico shell.php, tenendo presente che gli aggressori possono rinominare il payload.

Tra gli elementi utili da correlare ci sono i file creati poco dopo richieste AJAX sospette, l’accesso a quei file subito dopo la loro creazione, connessioni in uscita inattese e processi PHP che avviano utilità di sistema.

Eliminare la shell visibile non è sufficiente. Una volta eseguito codice PHP arbitrario, l’aggressore potrebbe aver creato account amministrativi, modificato password, installato plugin, alterato i temi, aggiunto attività pianificate o inserito altre backdoor secondarie.

Non è nota alcuna versione corretta confermata di WooCommerce Wholesale Lead Capture

Non è stata identificata alcuna versione corretta di WooCommerce Wholesale Lead Capture. Tutte le versioni fino alla 2.0.3.1 devono quindi essere considerate vulnerabili.

Gli amministratori dovrebbero installare una versione corretta dal produttore non appena ne sarà confermata la disponibilità. Nel frattempo, i siti dovrebbero disabilitare e rimuovere il plugin interessato, ove possibile, oppure impedire l’accesso esterno all’action vulnerabile tramite i controlli del server web o di un web application firewall.

I siti che mostrano segnali di sfruttamento dovrebbero essere isolati prima della bonifica. Gli addetti alla risposta agli incidenti dovrebbero preservare i log web, applicativi, di autenticazione e del file system prima di rimuovere i file malevoli.

Il ripristino dovrebbe includere la rotazione, ove applicabile, delle credenziali di WordPress, hosting, database, FTP, SSH e pannello di controllo. I team dovrebbero inoltre esaminare gli account amministrativi, gli eventi di reimpostazione delle password, i plugin installati, le modifiche ai temi, le attività pianificate, i meccanismi di avvio e ogni altra posizione che potrebbe garantire la persistenza.

Non risultano voci nel catalogo CISA Known Exploited Vulnerabilities né scadenze federali di bonifica associate a CVE-2026-27540. L’assenza della vulnerabilità dal catalogo KEV non cambia i dati sullo sfruttamento osservato: Wordfence ha già registrato un volume consistente di traffico d’attacco diretto contro la falla.

The Events Calendar presenta due percorsi distinti per l’esecuzione critica di codice da remoto

La stessa segnalazione riguarda due vulnerabilità critiche in The Events Calendar, installato su oltre 600.000 siti WordPress. Entrambe le falle possono essere sfruttate senza autenticazione, ma utilizzano percorsi diversi attraverso la funzionalità di rendering dei widget del plugin.

CVE-2026-78159 interessa le versioni fino alla 6.17.3 ed è stata corretta nella versione 6.17.3.1. Ha un punteggio CVSS di 9,8:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

La vulnerabilità deriva da una validazione insufficiente della mappa classes del widget nella funzione parse_array. Un payload costituito da un semplice array può aggirare un controllo di sicurezza sugli oggetti e raggiungere un percorso di invocazione di funzioni in Element_Classes::parse_array().

La vulnerabilità è classificata come CWE-94, controllo improprio della generazione del codice. La catena di sfruttamento può provocare PHP Object Injection e infine consentire l’esecuzione di comandi del sistema operativo.

Per sfruttarla, è necessario che i commenti siano abilitati per i post tribe_events e che sia presente almeno una condizione relativa ai commenti. La descrizione tecnica disponibile non specifica la condizione completa. Wordfence ha riferito che l’anteprima dei commenti in attesa può attivare la catena senza l’approvazione di un moderatore.

La seconda vulnerabilità, CVE-2026-78006, interessa le versioni fino alla 6.17.4 ed è stata corretta nella 6.17.4.1. Anche questa ha un punteggio CVSS di 9,8 con lo stesso vettore.

La vulnerabilità è classificata come CWE-502, deserializzazione di dati non attendibili. I metodi magici di PHP possono essere eseguiti durante la fase di pre-parsing, mentre enable_rendering_widget_copied() può generare un valore di integrità wp_hash valido prima che i dati arrivino a unserialize(). Questo comportamento consente all’aggressore di aggirare la protezione prevista contro l’iniezione di oggetti.

La funzionalità risultante, che consente di invocare funzioni arbitrarie, può essere usata per reimpostare la password di un amministratore. L’aggressore potrebbe quindi autenticarsi, caricare un plugin malevolo e assumere il controllo completo del sito.

Gli amministratori WordPress dovrebbero dare priorità agli aggiornamenti e ai controlli di compromissione

Gli utenti di The Events Calendar dovrebbero effettuare l’aggiornamento almeno alla versione 6.17.4.1, che è la più recente tra le due versioni correttive e protegge i siti esposti alle versioni interessate.

WooCommerce Wholesale Lead Capture presenta una decisione immediata più complessa, poiché non è nota alcuna versione corretta. Gli amministratori che utilizzano la versione 2.0.3.1 o precedenti dovrebbero disabilitare il plugin o limitare rigidamente l’accesso al percorso AJAX vulnerabile, monitorando al contempo la disponibilità di un aggiornamento confermato dal produttore.

Per tutte e tre le vulnerabilità, applicare una patch o disabilitare il componente interessato chiude soltanto il punto d’ingresso iniziale. Qualsiasi sito con richieste sospette, file PHP inattesi, modifiche agli account amministrativi o plugin non autorizzati dovrebbe essere trattato come un potenziale server compromesso e sottoposto alle opportune indagini.