Vulnerabilità critiche di The Events Calendar mettono a rischio oltre 200.000 siti WordPress

Due vulnerabilità critiche nel plugin The Events Calendar di StellarWP potrebbero consentire ad attaccanti non autenticati di eseguire codice e prendere il controllo delle installazioni WordPress interessate.

Il plugin conta oltre 600.000 installazioni attive. Circa 240.000 siti utilizzavano versioni precedenti alla 6.17, rientrando così negli intervalli interessati da entrambe le vulnerabilità. Tuttavia, lo sfruttamento dipende dalla configurazione dei commenti, quindi il numero preciso di siti effettivamente esposti non è certo.

Entrambe le vulnerabilità hanno un punteggio CVSS pari a 9,8. Gli amministratori dovrebbero aggiornare The Events Calendar alla versione 6.17.4.1 o successive, perché i due problemi sono stati corretti in versioni distinte.

Due percorsi indipendenti verso l'esecuzione remota di codice

Le vulnerabilità interessano parti diverse del plugin e prevedono percorsi di sfruttamento separati:

• CVE-2026-78159 è una vulnerabilità di code injection nella funzione parse_array.
• CVE-2026-78006 è una vulnerabilità di PHP object injection che coinvolge is_safe_widget_instance.

Entrambe le vulnerabilità possono essere sfruttate da remoto senza autenticazione, privilegi o interazione da parte dell'utente. Condividono il seguente vettore CVSS 3.1:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Il punteggio descrive vulnerabilità accessibili dalla rete, con bassa complessità di attacco e un impatto potenziale elevato su riservatezza, integrità e disponibilità. Uno sfruttamento riuscito può quindi andare oltre la semplice modifica dei contenuti delle pagine: può consentire l'esecuzione di codice lato server e la compromissione completa dell'installazione WordPress.

Le due vulnerabilità hanno classificazioni diverse. CVE-2026-78159 è tracciata come CWE-94, che riguarda il controllo improprio sul codice generato, mentre CVE-2026-78006 è classificata come CWE-502, ovvero deserializzazione di dati non attendibili.

Nelle informazioni disponibili non sono state rilevate attività di sfruttamento confermate, infrastrutture riconducibili ad attaccanti, indicatori pubblici di exploit o campagne malware. Non sono inoltre noti uno stato nel catalogo CISA Known Exploited Vulnerabilities né una scadenza per la remediation.

CVE-2026-78159 aggira i controlli con un array semplice

CVE-2026-78159 deriva da una convalida insufficiente della mappa classes del widget. Il codice vulnerabile si trova in Element_Classes::parse_array().

Il plugin tenta di verificare se un'istanza del widget è sicura. Tuttavia, un attaccante può inviare un payload strutturato come un array semplice, aggirando il controllo orientato agli oggetti eseguito da is_safe_widget_instance(). Il payload può quindi raggiungere un punto di invocazione di funzioni all'interno di parse_array, dove i dati controllati dall'attaccante possono essere trattati come comportamento eseguibile.

L'elaborazione avviene mentre The Events Calendar genera l'HTML del singolo evento, compresa l'area dei commenti della pagina. Per sfruttare la vulnerabilità, i commenti devono essere abilitati sui post tribe_events e almeno un commento deve soddisfare un'ulteriore condizione non descritta pubblicamente nella documentazione tecnica disponibile.

Questa dipendenza limita la superficie di attacco vulnerabile, ma non richiede che il commentatore malevolo disponga di un account WordPress. In presenza della configurazione necessaria, l'attacco resta non autenticato.

Il NVD indica come vulnerabili le versioni fino alla 6.17.3 inclusa. StellarWP ha corretto il problema nella versione 6.17.3.1, rilasciata il 25 agosto.

Installare soltanto questa versione non è più sufficiente. L'aggiornamento corregge CVE-2026-78159, ma lascia irrisolto il secondo percorso verso l'esecuzione remota di codice.

CVE-2026-78006 sfrutta il comportamento della deserializzazione PHP

CVE-2026-78006 interessa is_safe_widget_instance, la stessa protezione che la prima vulnerabilità può aggirare fornendo un array semplice. In questo caso, l'attaccante compromette direttamente la protezione attraverso una PHP object injection.

PHP può invocare metodi magici mentre i dati vengono preparati e interpretati, prima che la sequenza di convalida prevista dal plugin sia completata. Il flusso vulnerabile consente a enable_rendering_widget_copied() di generare quello che sembra un attributo di integrità wp_hash legittimo, prima che l'esecuzione raggiunga unserialize().

Questo valore di integrità contraffatto consente a dati serializzati ostili di superare un controllo progettato per distinguere i contenuti attendibili dei widget. Una volta raggiunta la deserializzazione, un attaccante può attivare una catena di object injection in grado di eseguire codice sul server.

Perché questo percorso sia sfruttabile, i commenti sui contenuti degli eventi devono essere abilitati e visibili. È importante sottolineare che i dati malevoli raggiungono la funzione vulnerabile prima che la moderazione o l'approvazione dei commenti di WordPress possano bloccarli. Richiedere l'approvazione dei nuovi commenti, quindi, non impedisce di per sé lo sfruttamento.

Il NVD identifica come interessate tutte le versioni fino alla 6.17.4 inclusa. StellarWP ha corretto la vulnerabilità nella versione 6.17.4.1, rilasciata il 10 settembre.

Le differenze tra le versioni creano un'insidia negli aggiornamenti

I due livelli di patch sono facili da confondere perché differiscono soltanto per l'ultimo componente della revisione.

Vulnerabilità	Versioni vulnerabili	Prima versione corretta
CVE-2026-78159	Fino alla 6.17.3 inclusa	6.17.3.1
CVE-2026-78006	Fino alla 6.17.4 inclusa	6.17.4.1

Un sito che utilizza la versione 6.17.3.1 è protetto da CVE-2026-78159, ma resta esposto a CVE-2026-78006. Gli amministratori dovrebbero quindi considerare la 6.17.4.1 la versione minima sicura per coprire entrambe le vulnerabilità.

Questo aspetto è importante per gli ambienti in cui gli aggiornamenti vengono distribuiti per fasi o bloccati su versioni specifiche anziché installati automaticamente. Verificare semplicemente che il plugin abbia ricevuto l'aggiornamento di sicurezza del 25 agosto non dimostra che l'installazione sia protetta dalla successiva vulnerabilità di object injection.

Le organizzazioni dovrebbero censire ogni istanza WordPress, inclusi i siti di sviluppo, i micrositi dedicati agli eventi, le installazioni inattive e le copie ospitate su domini secondari. Per ogni installazione è necessario verificare direttamente la versione del plugin installata.

L'esposizione dipende dalle versioni e dalle impostazioni dei commenti

SecurityWeek stima che oltre 200.000 siti web WordPress potrebbero essere esposti a una presa di controllo. I dati sull'utilizzo indicano inoltre che circa 240.000 siti utilizzavano versioni precedenti alla 6.17, comprese in entrambi gli intervalli vulnerabili.

Questi numeri non significano che ogni installazione obsoleta possa essere compromessa immediatamente. Entrambi i percorsi di attacco dipendono dall'abilitazione dei commenti nella configurazione pertinente di The Events Calendar. CVE-2026-78159 è associata in particolare ai commenti sui post tribe_events.

Tra il 10 e il 14 settembre il plugin è stato scaricato poco più di 300.000 volte. Rispetto a una base di oltre 600.000 installazioni attive, questo volume suggerisce che circa la metà delle installazioni potrebbe non aver ancora ricevuto l'aggiornamento per CVE-2026-78006. I dati sui download non possono confermare se un aggiornamento sia stato installato correttamente o se le impostazioni necessarie per i commenti siano attive.

Ne risulta una finestra di esposizione ampia, ma difficile da quantificare con precisione. La telemetria sulle versioni misura la presenza di software obsoleto, mentre la reale sfruttabilità dipende anche dalla configurazione del sito e dallo stato dei contenuti.

Gli amministratori devono applicare le patch e verificare i sistemi esposti

La risposta prioritaria consiste nell'aggiornare The Events Calendar alla versione 6.17.4.1 o successive. Gli amministratori dovrebbero quindi confermare la versione installata in ogni ambiente WordPress, senza affidarsi esclusivamente alle notifiche centralizzate degli aggiornamenti.

Fino al completamento dell'applicazione delle patch, gli operatori possono verificare se i commenti sono abilitati per i contenuti degli eventi. Disabilitarli potrebbe rimuovere un prerequisito noto, ma non è stato indicato come alternativa formale del fornitore all'installazione della versione corretta.

I team di sicurezza dovrebbero esaminare i log di WordPress, PHP e dei web server alla ricerca di attività anomale relative a:

• Commenti inviati ai post degli eventi.
• Array di widget malformati o dati classes imprevisti.
• Oggetti PHP serializzati nelle richieste in ingresso.
• Richieste che tentano di raggiungere il codice di rendering degli eventi o di elaborazione dei widget.
• Nuovi account amministratore o modifiche ai privilegi prive di spiegazione.
• Plugin, temi o file del core modificati.
• Attività pianificate, script lato server o connessioni in uscita inattese.

Al momento non sono disponibili stringhe di exploit specifiche né indicatori di compromissione affidabili. Il rilevamento richiede quindi un'analisi comportamentale, non il semplice confronto con una firma pubblicata.

Se su un sito che utilizzava una versione interessata vengono rilevate attività sospette e i commenti degli eventi erano abilitati, gli amministratori dovrebbero considerare potenzialmente compromessa l'intera installazione WordPress. La verifica dovrebbe includere credenziali, contenuti del database, account di hosting, file del server, meccanismi di persistenza e tutti i segreti accessibili al processo PHP.