CVE-2026-60137: SQL injection nel core di WordPress, già nella lista KEV di CISA

CVE-2026-60137: SQL injection nel core di WordPress, già nella lista KEV di CISA

In breve

È stata pubblicata una vulnerabilità di SQL injection nel core di WordPress, identificata come CVE-2026-60137, che figura già nel catalogo delle vulnerabilità sfruttate attivamente (KEV) di CISA [2]. Colpisce installazioni di WordPress in diversi rami di versione [1]. Se gestisci un sito WordPress, l'azione di oggi è semplice: verificare la versione del tuo core e aggiornare al più presto.

Cos'è e perché è importante

CVE-2026-60137 è un difetto di sanitizzazione nel parametro author__not_in di WP_Query, un componente interno del core di WordPress. Secondo la descrizione ufficiale, il problema consente l'SQL injection quando un plugin o un tema passa input non affidabile a quel parametro [1]. È classificato con un punteggio CVSS di 5.9 e gravità "media" secondo NVD [1], pubblicato il 17 luglio 2026 [1].

Ciò che aumenta l'urgenza non è il punteggio in sé, ma due fattori: primo, CISA lo ha già inserito nel proprio catalogo KEV, il che indica un'evidenza di sfruttamento attivo nel mondo reale [2]. Secondo, il nostro radar di intelligence OCIRIA ha rilevato che questo difetto può essere concatenato con un'altra vulnerabilità, CVE-2026-63030, per ottenere l'esecuzione di codice remoto senza necessità di autenticazione preventiva [3]. In altre parole: anche se la SQL injection da sola è già seria, il rischio reale per molti siti è maggiore di quanto suggerisca il CVSS da solo, perché un aggressore potrebbe arrivare a prendere il controllo del server combinando entrambi i difetti [3].

Va sottolineato che quest'ultimo punto — il concatenamento con CVE-2026-63030 — è un risultato della nostra analisi interna e non un dato riportato in NVD o nel registro KEV [3]; lo condividiamo perché crediamo che offra un contesto utile per definire le priorità di risposta.

Chi è interessato

Secondo i dati ufficiali, sono interessate le seguenti versioni di WordPress: 6.8.x precedenti alla 6.8.6, 6.9.x precedenti alla 6.9.5 e 7.0.x precedenti alla 7.0.2 [1]. Il vendor interessato è WordPress [1]. In pratica, questo riguarda una parte molto ampia dell'ecosistema, poiché WordPress è uno dei sistemi di gestione dei contenuti più utilizzati da aziende di ogni dimensione: negozi online, siti aziendali, blog, intranet e portali di acquisizione clienti.

Il rischio si concretizza soprattutto quando plugin o temi installati passano input dell'utente (ad esempio, parametri di ricerca, filtri o moduli) direttamente alla funzione WP_Query interessata, come descrive la stessa scheda tecnica [1]. Più plugin di terze parti ha installati un sito, maggiore è la superficie di esposizione potenziale.

Come sapere se sei vulnerabile

Non serve essere una persona tecnica per fare una prima verifica:

• Accedi al pannello di amministrazione di WordPress e controlla la versione del core nel pannello "Aggiornamenti". Se è precedente alla 6.8.6, alla 6.9.5 o alla 7.0.2, la tua installazione rientra nell'intervallo interessato [1].
• Controlla quali plugin e temi sono attivi, in particolare quelli che mostrano elenchi, ricerche o filtri di contenuto, poiché sono i più propensi a interagire con WP_Query.
• Se gestisci più siti o domini (agenzie, franchising, gruppi aziendali), conviene avere un inventario aggiornato di quale CMS e quale versione utilizza ciascun asset pubblico. È frequente scoprire installazioni "dimenticate" che nessuno aggiorna.
• Verificare la superficie realmente esposta a internet — quali domini, sottodomini e pannelli di amministrazione sono visibili dall'esterno — è il primo passo prima di decidere le priorità di patching.

Come proteggerti

1. Aggiorna WordPress Core alla versione più recente all'interno del tuo ramo (6.8.6, 6.9.5, 7.0.2 o successive) il prima possibile [1].

2. Controlla plugin e temi che interagiscono con elenchi o query dinamiche, e aggiornali anch'essi, poiché il difetto si attiva quando questi passano dati non filtrati al core [1].

3. Dai priorità ai siti esposti pubblicamente e con pannelli di amministrazione accessibili da internet, dato che questo CVE è già sfruttato attivamente secondo CISA [2].

4. Esegui un backup prima di aggiornare, come buona pratica standard per qualsiasi patch di sicurezza.

5. Se gestisci più siti, automatizza il controllo delle versioni per non dipendere da revisioni manuali periodiche.

FAQ breve

È una vulnerabilità critica? Secondo NVD, la gravità è "media" con CVSS 5.9 [1]. Tuttavia, la sua inclusione nel catalogo KEV di CISA indica uno sfruttamento attivo confermato [2], e la nostra analisi interna indica un rischio di esecuzione di codice remoto se combinata con un altro difetto [3], motivo per cui raccomandiamo di trattarla con priorità alta nonostante il punteggio moderato.

Colpisce tutti i siti WordPress? Solo quelli che eseguono versioni all'interno degli intervalli indicati (6.8.x precedenti alla 6.8.6, 6.9.x precedenti alla 6.9.5, 7.0.x precedenti alla 7.0.2) [1]. Aggiornare il core risolve il problema.

Basta aggiornare il core? È il passo essenziale, ma conviene controllare anche i plugin e i temi attivi, poiché sono loro a esporre il percorso di attacco passando dati non validati al componente interessato [1].

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-60137
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json