Indice dell'articolo
WordPress 7.0.4 è un aggiornamento di sicurezza da installare subito. Corregge una vulnerabilità di esecuzione di codice da remoto che può essere sfruttata da un utente autenticato con ruolo Autore o superiore, quando il server usa Imagick insieme a Ghostscript. Per aziende e MSP il rischio non riguarda soltanto il singolo sito: un’installazione compromessa può diventare un punto di accesso a dati, posta, credenziali e infrastruttura collegata.
Perché WordPress 7.0.4 è urgente
Il bollettino ufficiale di WordPress 7.0.4 raccomanda l’aggiornamento immediato. La vulnerabilità è identificata come CVE-2026-65640 e GHSA-8vr3-7mxf-gx8w, con severità alta e punteggio CVSS 8,8.
L’attacco richiede tre condizioni: un account con capacità di caricare file, l’elaborazione delle immagini tramite Imagick e la presenza di Ghostscript sul server. Un file PostScript costruito ad arte può sfruttare la catena di elaborazione dei media e arrivare all’esecuzione di codice sul sistema.
Questo riduce l’esposizione rispetto a una falla sfruttabile senza autenticazione, ma non la rende trascurabile. Account editoriali rubati, password riutilizzate o collaboratori non più autorizzati sono scenari comuni. Un ruolo Autore non deve essere considerato un confine di sicurezza sufficiente contro l’esecuzione di codice.
Quali versioni sono coinvolte
L’advisory riguarda WordPress dalla versione 4.7 in avanti. La correzione principale è inclusa in WordPress 7.0.4; sono state inoltre pubblicate versioni corrette per i rami precedenti, fino alla 4.7.35. L’elenco completo delle versioni vulnerabili e delle rispettive patch è disponibile nell’advisory di sicurezza WordPress.
La presenza di un backport non significa che una vecchia installazione sia adeguatamente mantenuta. WordPress ricorda che solo la versione più recente riceve supporto attivo. Per un sito aziendale, applicare la patch di emergenza è il primo passo; pianificare l’aggiornamento del ramo, di PHP, del tema e dei plugin rimane necessario.
È importante verificare anche gli aggiornamenti automatici: il fatto che siano configurati non dimostra che siano andati a buon fine. Spazio disco insufficiente, permessi errati, blocchi del WAF o incompatibilità applicative possono lasciare il sito su una versione vulnerabile.
Checklist operativa per aziende e MSP
Noi consigliamo una procedura breve ma verificabile, applicata a tutto il parco WordPress e non soltanto ai siti più visibili.
- Inventario: individuare ogni installazione, inclusi staging, sottodomini, siti dismessi ma ancora raggiungibili e copie usate per test.
- Backup: eseguire una copia coerente di database e file e verificare che sia disponibile una procedura di ripristino.
- Aggiornamento: installare WordPress 7.0.4 oppure la versione corretta prevista per il ramo in uso.
- Readback: controllare dal sistema, non solo dalla dashboard, che la versione effettivamente caricata sia quella corretta.
- Test funzionale: verificare login, editor, caricamento media, form, pagamenti, cache e integrazioni essenziali.
- Account: riesaminare utenti con ruolo Autore o superiore, rimuovere quelli inutilizzati e imporre password uniche e autenticazione a più fattori.
- Indicatori: cercare file anomali, nuovi amministratori, modifiche inattese, processi insoliti e richieste sospette nei log web e applicativi.
- Chiusura: registrare sito, versione precedente, versione installata, data, esito dei test e operatore responsabile.
Se un sito presenta segnali di compromissione, l’aggiornamento da solo non basta. Occorre isolarlo, preservare i log, ruotare le credenziali e verificare la persistenza prima di rimetterlo in servizio.
FAQ su CVE-2026-65640
La vulnerabilità può essere sfruttata senza login?
L’advisory richiede un utente con capacità upload_files, normalmente un Autore o ruolo superiore. Il rischio resta concreto quando un account viene compromesso o mantenuto oltre il necessario.
Sono vulnerabili tutti i server WordPress?
Lo sfruttamento descritto richiede Imagick e Ghostscript attivi sul server. La patch va comunque applicata: l’inventario delle dipendenze può essere incompleto e WordPress raccomanda l’aggiornamento immediato.
Gli aggiornamenti automatici risolvono il problema?
Possono installare la release, ma bisogna verificare il risultato. Un’automazione configurata non equivale a un aggiornamento completato e testato.
Basta aggiornare WordPress?
Per correggere questa vulnerabilità serve la versione patchata. Se esistono indicatori di compromissione, sono necessarie anche analisi, rotazione delle credenziali e verifica dell’integrità.
La patch è semplice, la verifica fa la differenza
WordPress 7.0.4 riduce un rischio concreto, ma la gestione professionale non termina con il pulsante “Aggiorna”. Il valore per l’azienda sta nell’inventario completo, nel backup ripristinabile, nel test dei servizi e nella prova documentata che ogni sito sia stato corretto.
Se vuoi delegare aggiornamenti, backup e monitoraggio, le nostre soluzioni WordPress e cloud gestite includono assistenza operativa e controllo continuo: scopri MSP In Cloud.