Gli hacker stanno sfruttando in massa due vulnerabilità di WordPress.

      Se gestisci un sito WordPress, il consiglio di questa settimana è chiaro: aggiornalo ora. Due vulnerabilità nel software sono attivamente sfruttate su Internet. WordPress alimenta più della metà di tutti i siti web online, quindi il raggio d'azione è enorme. Le aziende di sicurezza affermano che gli attacchi sono iniziati entro poche ore dalla correzione. Un modello di intelligenza artificiale si trova da entrambe le parti della storia.

      Cosa è wp2shell

      WordPress ha rilasciato le patch venerdì, nelle versioni 7.0.2 e 6.9.5. Ha attivato gli aggiornamenti automatici forzati a causa del rischio. I ricercatori chiamano la vulnerabilità wp2shell.

      Combina due bug. Uno è un problema di iniezione SQL. L'altro, valutato critico con un punteggio di 9.8 su 10 da TechRadar, è un bug di confusione del percorso nell'API REST che consente a una richiesta di saltare l'autenticazione. A parte, sono complicati. Insieme, forniscono a un attaccante anonimo il pieno controllo remoto.

      Il 💜 della tecnologia dell'UE

      Le ultime voci dalla scena tecnologica dell'UE, una storia del nostro saggio fondatore Boris e alcune opere d'arte AI discutibili. È gratuito, ogni settimana, nella tua casella di posta. Iscriviti ora!

      “L'attacco non ha precondizioni,” ha detto Searchlight Cyber, il cui ricercatore Adam Kues l'ha trovato e segnalato. Funziona su un'installazione WordPress standard senza plugin.

      L'IA l'ha trovata e l'IA la sta armando

      Ecco la parte che inquieta il mondo della sicurezza. Kues non ha trovato la catena a mano. Ha utilizzato il GPT-5.6 di OpenAI in circa 10 ore, un lavoro che la sua azienda ha stimato potesse fruttare 500.000 dollari dai broker di exploit.

      Gli stessi strumenti possono essere utilizzati in senso opposto. “Riprodurli con l'aiuto di modelli di intelligenza artificiale all'avanguardia era solo una questione di tempo e token,” ha detto il ricercatore di watchTowr Jake Knott a The Register. Il suo team ha ricreato il bug critico in pochi minuti.

      Il fondatore di watchTowr, Benjamin Harris, ha spiegato il cambiamento chiaramente a SecurityWeek. Gli exploit di prova di concetto sono apparsi entro poche ore, ha detto, dove prima ci volevano un giorno. “La finestra tra divulgazione e sfruttamento è crollata.”

      Cosa stanno facendo gli attaccanti

      Entro sabato mattina, gli attacchi erano già ben avviati. Prima è arrivato il codice di exploit pubblico per rubare password hashate. Poi è arrivata l'esecuzione di codice remoto, man mano che più dettagli trapelavano.

      I honeypot di watchTowr hanno registrato decine di migliaia di tentativi e più di 100 account admin backdoor, creati da diversi gruppi. VulnCheck ha verificato più di due dozzine di exploit distinti entro domenica.

      Una volta dentro, gli attaccanti piantano plugin falsi, raccolgono credenziali e introducono ulteriori strumenti. In un caso, watchTowr ha osservato un gruppo tentare di installare Overlord RAT, un trojan di accesso remoto. Un altro payload nascondeva una web shell all'interno di un falso plugin di sicurezza.

      Quanti siti sono esposti

      Nessuno ha un conteggio preciso. Più di 400 milioni di siti eseguono le versioni interessate, anche se molti sono stati successivamente aggiornati. Il consulente Daniel Card ha detto a TechCrunch che ha campionato circa 3.500 siti e ha messo la quota vulnerabile sotto il 15%, che si traduce comunque in quasi 90 milioni.

      I dati di Wiz, ora di proprietà di Google, raccontano una storia simile a The Hacker News. Ha scoperto che il 60% delle organizzazioni che eseguono WordPress aveva almeno un'istanza esposta quando i bug sono stati resi pubblici. Un quarto aveva un server vulnerabile esposto a Internet.

      I danni sono stati attenuati dalle difese già in atto. WordPress ha forzato gli aggiornamenti automatici, Cloudflare ha bloccato gli attacchi al suo firewall e Automattic ha dichiarato che i suoi siti ospitati erano protetti prima che la patch fosse anche rilasciata.

      L'avviso più grande

      Il rischio è ancora reale per chi è rimasto indietro. Matt Mullenweg, co-fondatore di WordPress, l'ha definita una sorta di takeover pre-autenticazione vista solo poche volte nella storia ventitrennale del software. Segna un periodo difficile di allerta sulla sicurezza di WordPress.

      Il consiglio di Knott è più netto. Qualsiasi sito che ha aspettato fino a lunedì per applicare la patch è probabilmente già compromesso, ha detto, quindi controlla eventuali account admin non autorizzati anche dopo l'aggiornamento. Questo è il segno più recente che la sicurezza dell'IA ora si muove alla velocità della macchina, settimane dopo che un agente AI ha violato Hugging Face da solo. I difensori devono tenere il passo.