Sei vulnerabilità concatenate nel tema Avada di WordPress consentono il controllo totale del sito

Il tema Avada di ThemeFusion, uno dei più diffusi per WordPress con oltre un milione di vendite, è stato corretto per una catena di sei vulnerabilità che un attaccante non autenticato può sfruttare per eseguire codice PHP arbitrario sul server, senza alcuna interazione da parte dell'amministratore. La falla, identificata come CVE-2026-18431 e con punteggio CVSS 9.8, è stata resa nota il 26 agosto 2026.

Cosa è successo e quando

Il team di threat intelligence di Wordfence (Defiant) ha scoperto la catena di vulnerabilità e ha condiviso i dettagli completi con ThemeFusion il 5 agosto. Il vendor ha riconosciuto il rapporto il 10 agosto. Le correzioni sono state rilasciate il 25 agosto, un giorno prima della pubblicazione dei dettagli. ThemeFusion ha aggiornato il tema Avada alla versione 7.16.1 e il plugin Fusion Builder alla versione 3.16.1.

La scoperta risale al 30 luglio, quando il framework agentico interno Argus ha individuato e riprodotto con successo la falla. Il proof-of-concept è stato sviluppato in circa due ore.

Componenti vulnerabili e versioni esatte

La vulnerabilità interessa due prodotti dello stesso vendor, che devono essere entrambi attivi e vulnerabili perché l'attacco riesca:

• Tema Avada – versioni fino alla 7.16 inclusa.
• Plugin Fusion Builder – versioni fino alla 3.16 inclusa.

Le versioni corrette sono 7.16.1 per il tema e 3.16.1 per il plugin. Chi utilizza Avada senza Fusion Builder, o versioni più recenti di uno dei due componenti, non è esposto a questa specifica catena.

Come funziona la catena di attacco

L'attacco zero-click combina sei problemi di sicurezza distinti, che Wordfence ha descritto in una panoramica senza divulgare i dettagli tecnici completi, per dare tempo agli amministratori di aggiornare. La sequenza segnalata è la seguente:

1. Un endpoint pubblico espone un input controllato dall'utente.
2. L'input viene inoltrato a funzionalità che dovrebbero essere riservate a utenti anonimi.
3. Un componente privilegiato viene richiamato fuori dal suo contesto previsto.
4. I dati della richiesta alterano uno stato considerato affidabile.
5. Un'operazione amministrativa priva di protezioni adeguate diventa accessibile.
6. Le restrizioni sulla scrittura dei file (contenuto e posizione) vengono aggirate.

L'ultimo passaggio consente di scrivere file PHP sul server, ottenendo l'esecuzione arbitraria di codice. Wordfence ha precisato che la catena richiede la combinazione delle versioni vulnerabili di entrambi i componenti, il che restringe il numero di bersagli potenziali. Non sono state fornite evidenze di sfruttamento in the wild al momento della pubblicazione.

Impatto: compromissione completa e vettore CVSS

Il punteggio CVSS 9.8, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, colloca la falla nella fascia critica. Un attaccante remoto può ottenere l'esecuzione arbitraria di codice PHP senza privilegi e senza interazione dell'utente. Le conseguenze pratiche includono:

• installazione di malware o backdoor;
• accesso non autorizzato al database del sito;
• reindirizzamento dei visitatori verso siti dannosi;
• creazione di account amministratore non autorizzati.

In sostanza, chi sfrutta questa falla può prendere il controllo completo del sito WordPress e dei dati che gestisce.

Superficie di rischio: un milione di installazioni, ma prerequisiti restrittivi

Il tema Avada è uno dei più venduti nella storia di WordPress, con oltre un milione di copie. Tuttavia, la necessità di avere anche Fusion Builder attivo riduce in modo consistente il numero di siti realmente esposti alla catena. Il plugin non è installato automaticamente con il tema in tutte le configurazioni e molti utenti potrebbero averlo disattivato o sostituito.

Non è noto se la CVE-2026-18431 sia stata inserita nel catalogo KEV (Known Exploited Vulnerabilities) della CISA al momento della pubblicazione. Non ci sono informazioni disponibili su eventuali precedenti recenti dello stesso vendor nello stesso catalogo.

Cosa fare ora

Gli amministratori di siti WordPress che usano il tema Avada devono verificare immediatamente le versioni installate. Se il tema è alla versione 7.16 o precedente e Fusion Builder è alla versione 3.16 o precedente, con entrambi attivi, è necessario aggiornare:

• Tema Avada → versione 7.16.1 o successiva.
• Plugin Fusion Builder → versione 3.16.1 o successiva.

Gli aggiornamenti sono già disponibili tramite i canali ufficiali di ThemeFusion. Non sono stati forniti workaround ufficiali: l'aggiornamento è l'unica mitigazione indicata. Wordfence ha rinviato la divulgazione dei dettagli tecnici completi proprio per consentire l'applicazione delle patch.

Scoperta con Argus: un approccio automatizzato alla ricerca di vulnerabilità

La vulnerabilità è stata individuata dal framework agentico Argus, sviluppato internamente da Defiant, la società dietro Wordfence. Argus ha analizzato il tema e il plugin, identificato la catena di sei falle e prodotto un proof-of-concept funzionante in circa due ore a partire dalla scoperta del 30 luglio. ThemeFusion ha ricevuto i dettagli completi il 5 agosto e ha confermato la ricezione il 10 agosto, pubblicando le correzioni il 25 agosto.

L'episodio mostra come l'automazione nella ricerca di vulnerabilità possa accorciare i tempi tra scoperta e correzione, ma anche come un singolo aggiornamento possa chiudere una catena complessa di problemi concorrenti.