Gravità critica Già sfruttata Siti web, hosting ed e-commerce

WordPress: falla già sfruttata durante gli aggiornamenti

WordPress · avviso ACN AL12/261104/CSIRT-ITA del 4 novembre 2026

// In breve

L'ACN ha rilevato attacchi in corso contro la vulnerabilità CVE-2026-119977 di WordPress. Durante un aggiornamento completo del core, WordPress usa cartelle temporanee con nomi prevedibili e raggiungibili dal web: un attaccante, senza credenziali, può approfittare di quei momenti per eseguire codice sul server. La falla è già corretta nelle nuove versioni.

// Chi deve preoccuparsi

Chiunque abbia un sito WordPress: sono interessate tutte le serie dalla 4.7 alla 7.1 fino alle versioni corrette (per esempio 7.1.4, 7.0.8, 6.9.11 e 6.8.12; l'elenco completo è più sotto). Se il sito è su un hosting gestito o lo segue un'agenzia, chiedi conferma che l'aggiornamento sia già stato fatto.

// Cosa fare, in ordine

Controlla la versione di WordPress: in Bacheca › Aggiornamenti, e confrontala con l'elenco delle versioni corrette.

Fai un backup: database e file del sito, prima di aggiornare.

Aggiorna all'ultima versione della tua serie: per la serie 7.1 almeno la 7.1.4, come indicato nel bollettino di WordPress.

Verifica gli aggiornamenti automatici: se il sito si aggiorna da solo, controlla che l'ultimo aggiornamento sia andato a buon fine e non sia rimasto bloccato.

// Prodotti e versioni interessate

WordPress
· 4.7.x, versioni precedenti alla 4.7.39
· 4.8.x, versioni precedenti alla 4.8.34
· 4.9.x, versioni precedenti alla 4.9.35
· 5.0.x, versioni precedenti alla 5.0.31
· 5.1.x, versioni precedenti alla 5.1.28
· 5.2.x, versioni precedenti alla 5.2.30
· 5.3.x, versioni precedenti alla 5.3.27
· 5.4.x, versioni precedenti alla 5.4.25
· 5.5.x, versioni precedenti alla 5.5.24
· 5.6.x, versioni precedenti alla 5.6.23
· 5.7.x, versioni precedenti alla 5.7.21
· 5.8.x, versioni precedenti alla 5.8.19
· 5.9.x, versioni precedenti alla 5.9.20
· 6.0.x, versioni precedenti alla 6.0.18
· 6.1.x, versioni precedenti alla 6.1.16
· 6.2.x, versioni precedenti alla 6.2.15
· 6.3.x, versioni precedenti alla 6.3.14
· 6.4.x, versioni precedenti alla 6.4.14
· 6.5.x, versioni precedenti alla 6.5.14
· 6.6.x, versioni precedenti alla 6.6.11
· 6.7.x, versioni precedenti alla 6.7.11
· 6.8.x, versioni precedenti alla 6.8.12
· 6.9.x, versioni precedenti alla 6.9.11
· 7.0.x, versioni precedenti alla 7.0.8
· 7.1.x, versioni precedenti alla 7.1.4

Elenco dalla fonte ufficiale (avviso ACN AL12/261104/CSIRT-ITA). Le versioni corrette e le istruzioni sono nel bollettino del produttore.

// Vulnerabilità (CVE)

Il codice CVE serve a cercare la vulnerabilità nei bollettini e negli strumenti di scansione.

CVE-2026-119977

// Fonti ufficiali

Questa pagina è una spiegazione divulgativa dell'avviso, aggiornata al 5 novembre 2026. In caso di differenze fanno fede la fonte ufficiale e il bollettino del produttore. Se sospetti un attacco in corso, l'ACN raccoglie le segnalazioni di incidente.

// Tag

Avvisi di sicurezza Gestione delle vulnerabilità CSIRT ACN, Agenzia per la cybersicurezza nazionale Cybersecurity Sicurezza Sicurezza delle applicazioni Patch Management CVE

// Altri avvisi del bollettino

Gravità critica Già sfruttata Siti web, hosting ed e-commerce

Drupal Commerce: falla già sfruttata, aggiornare subito

Drupal Commerce Core · 5 novembre 2026

Gravità alta Siti web, hosting ed e-commerce

cPanel e WHM: due falle gravi, aggiornare il server

cPanel & WHM · 3 novembre 2026

Gravità alta Firewall, router e Wi-Fi

Router ASUS: falle nel firmware ASUSWRT, aggiornare

Router ASUS (ASUSWRT) · 4 novembre 2026

Gravità alta Browser, PC e software

Mozilla Firefox: corretta una falla grave, versione 159.0.1

Mozilla Firefox · 4 novembre 2026

Tutti gli avvisi →