Report Sicurezza WordPress – 18 Febbraio 2026

Il report di questa settimana evidenzia 158 vulnerabilità totali distribuite tra plugin e temi WordPress. La situazione richiede particolare attenzione: sono stati identificati 83 plugin con patch disponibili e 75 plugin ancora senza correzioni, oltre a 32 vulnerabilità nei temi.

📊 WordPress Core

WordPress 6.9.1 è stato rilasciato il 3 febbraio 2026 come aggiornamento di manutenzione, correggendo 49 bug nel Core e nel Block Editor. La prossima versione major, WordPress 7.0, è prevista per il 9 aprile 2026 durante il WordCamp Asia. Non sono state segnalate nuove vulnerabilità nel core questa settimana.

🚨 Allarme rosso: vulnerabilità critiche e ad alto rischio

Otto plugin con installazioni significative presentano vulnerabilità critiche o ad alto rischio che richiedono attenzione immediata. Di questi, cinque hanno patch disponibili mentre tre rimangono ancora senza correzione.

⛔ Plugin critici senza patch disponibile

Particolare attenzione merita questa categoria: sono plugin con vulnerabilità gravi ma senza correzioni disponibili. L’unica soluzione temporanea è disattivarli immediatamente.

📋 Altri aggiornamenti importanti (gravità media)

Plugin con più di 10.000 installazioni che presentano vulnerabilità di gravità media. Sebbene meno urgenti, richiedono comunque aggiornamento nelle prossime manutenzioni programmate.

🎨 Vulnerabilità nei temi WordPress

Questa settimana sono state rilevate 32 vulnerabilità nei temi, di cui 13 con patch disponibili e 19 ancora senza correzione. Le vulnerabilità più comuni includono Local File Inclusion (LFI) e PHP Object Injection.

Temi critici con patch disponibile:

• AdForest – Broken Authentication (Critical) – Aggiorna alla versione 6.0.13
• Ippsum – PHP Object Injection (Critical) – Aggiorna alla versione 1.2.1
• Nestin – PHP Object Injection (Critical) – Aggiorna alla versione 1.2.6
• PatioTime – PHP Object Injection (Critical) – Aggiorna alla versione 2.1
• Prestige – PHP Object Injection (Critical) – Aggiorna alla versione 1.4.1
• Travelicious – PHP Object Injection (Critical) – Aggiorna alla versione 1.6.7

Temi critici senza patch:

• Extreme Store – PHP Object Injection (Critical) – Nessuna patch disponibile
• Lorem Ipsum Books & Media Store – PHP Object Injection (Critical) – Nessuna patch disponibile

Per i temi senza patch, si consiglia di passare temporaneamente a un tema alternativo fino al rilascio di una correzione.

📌 Raccomandazioni finali

1. Priorità massima: Aggiorna immediatamente i plugin con vulnerabilità critiche elencati nella sezione “Allarme Rosso”
2. Disattivazione immediata: Rimuovi i plugin senza patch disponibile, specialmente quelli con gravità High o Critical
3. Audit completo: Verifica la presenza di tutti i plugin elencati nel tuo sito utilizzando un plugin di sicurezza o la dashboard di WordPress
4. Backup preventivo: Esegui un backup completo prima di procedere con gli aggiornamenti
5. Ambiente di test: Se possibile, testa gli aggiornamenti in un ambiente di staging prima di applicarli in produzione

⚠️ Ci sono altri 120 plugin minori con vulnerabilità rilevate. Controlla la dashboard di sicurezza del tuo sito per un’analisi completa.

Nota importante: Questo report viene aggiornato settimanalmente. Iscriviti alla newsletter per ricevere gli aggiornamenti direttamente nella tua casella di posta e proteggere il tuo sito WordPress da nuove minacce.