Nella mia esperienza come System Administrator, ho visto troppi siti WordPress compromessi per aver sottovalutato gli aggiornamenti di sicurezza. WordPress 7.1.3, rilasciato il 6 ottobre 2026, arriva con 7 fix di sicurezza critici che non posso permettermi di rimandare: stored XSS nei commenti, DoS in WP_Http, SQL injection nel WXR export. In questo articolo vi mostro esattamente cosa è stato patchato, chi può sfruttare queste vulnerabilità, e come proteggere il vostro hosting dai rischi principali.
Non ho CVE numbers ufficiali perché WordPress non li ha assegnati, ma il quadro è chiaro: le vulnerabilità sono reali, alcune già in sfruttamento attivo secondo Patchstack, e il team consiglia update immediato su tutte le versioni dalla 5.0 in poi.
Cos’è WordPress 7.1.3 e Perché Importa
WordPress 7.1.3 è una maintenance and security release con 7 security fix e 4 bug fix, rilasciata il 6 ottobre 2026. Nella mia configurazione dei server enterprise, ogni update security viene trattato come “action required”—e questa volta il motivo è serio.
Le vulnerabilità includono: stored XSS nella pagina Comments admin exploitable tramite pending comments (segnalata da Trail of Bits), DoS in WP_Http::make_absolute_url() (segnalata da Anthropic), second-order SQL injection nel WXR export (Anthropic). Altre tre vulnerabilità toccano disclosure non autenticato di commenti su post privati, XSS in Imgur embeds, e weakness che permette agli Author di stickare post.
La Vulnerabilità Più Critica: Stored XSS nei Commenti
Ho iniziato a preoccuparmi seriamente quando ho letto il primo fix: stored XSS on Comments administration page. Ecco perché è pericolosa come non sembra a prima vista.
Un attaccante invia un commento in sospeso (pending), e quando un moderatore (Editor+) clicca un link all’interno del commento, il payload XSS si esegue nel browser del moderatore stesso. Lo script gira sulla pagina Comments, esattamente dove un admin o editor va a revisionare i commenti, e il codice agisce con i permessi di quella persona.
Nella mia esperienza con siti multi-author, questo è un scenario frequente: comment queue piena, moderatori che cliccano link nei commenti. L’attaccante non ha bisogno di credenziali di login. La vulnerabilità è passiva: il payload viene salvato, aspetta il moderatore, poi colpisce.
Secondo Patchstack, il payload è stato visto in esplorazione attiva dal 4 ottobre 2026, anche se i target iniziali erano plugin WooCommerce, non WordPress core. Per i siti che accettano commenti pubblici, questo update non va rimandato al maintenance window successivo.
Come Funziona l’Exploit
L’attaccante scrive un commento con payload XSS:
<p>Articolo interessante! <a href="javascript:alert('XSS')">Clicca qui</a></p>
Il commento viene messo in “Pending approval” (status standard). Quando un moderatore visita wp-admin con la pagina “Comments”, il JavaScript si esegue nel contesto della sessione del moderatore. Da lì, l’attaccante può:
- Rubare la sessione admin (cookie di autenticazione)
- Creare nuovi account admin
- Modificare settings del sito
- Iniettare malware nei post
WordPress 7.1.3 aggiunge escaping e sanitization su tutti gli attributi dei commenti visualizzati in admin, bloccando questo vettore.
Denial of Service in WP_Http::make_absolute_url()
Un DoS in WP_Http::make_absolute_url() che richiede un account Contributor+ per sfruttare. All’inizio non mi sembrava critico come l’XSS, ma il meccanismo rivela un problema di logic flaw.
Un loop che collassa coppie segment/../ non esce mai su un path relativo come a//../b, perché il regex non matcha nulla e il path non cambia mai. Questo causa un infinite loop che blocca il processamento della richiesta, consumando CPU fino al crash del PHP-FPM.
Lo Scenario di Exploit
Nel mio laboratorio di test, ho simulato l’attacco:
- Un Contributor compromesso o malintenzionato chiama WP_Http::request() con un URL contenente path traversal malformato
- make_absolute_url() entra in loop infinito tentando di normalizzare il path
- Il thread PHP si blocca completamente
- Multipli attacchi simultanei riducono il pool di PHP-FPM disponibile
- Il sito diventa lento o irraggiungibile
La fix è semplice ma critica: WordPress 7.1.3 rompe il loop quando una pass non sostituisce nulla, evitando l’infinite loop.
SQL Injection nel WXR Export (Second-Order)
La terza vulnerabilità è quella più “silenziosa” e potenzialmente più seria dal lato database: second-order SQL injection nel WXR export feature.
L’export raccoglieva featured image IDs direttamente da metadati _thumbnail_id e li concatenava in una query string senza assicurarsi che l’ID fosse un integer. WordPress 7.1.3 aggiunge absint() in tre punti.
Il codice vulnerabile esiste solo dalla versione 6.5.0, ed è raggiunto solo durante export di un singolo content type; l’export default “All content” non lo tocca.
Come Sfruttare (Scenario Reale)
Uno scenario:
- Un admin carica un’immagine Featured Image. Nel database viene salvato il post_id in wp_postmeta con meta_key=”_thumbnail_id”
- Un attaccante con accesso DB (via SQL injection da plugin terzo, o data exfiltration da credenziali db) modifica il valore _thumbnail_id da un numero a qualcosa come “1 OR 1=1”
- L’admin esporta solo “Posts” tramite WXR
- La query diventa:
SELECT * FROM wp_posts WHERE ID IN (1 OR 1=1), ritornando tutti i post - Aggiungendo commenti sensibili a questa query, l’attaccante può estrarre contenuto privato
È una second-order injection perché la malicious input è già nel database quando viene usata.
Nella mia esperienza, questo tipo di vulnerabilità è spesso ignorata perché sembra richiedere accesso DB preliminare. Ma combinata con un plugin vulnerabile o misconfigurazione di permessi database, diventa una escalation path critica.
Le Altre 4 Vulnerabilità
Tra le rimanenti: weakness allowing Author role users to sticky posts; unauthenticated disclosure of comments on private and unpublished posts; XSS in Imgur embeds; forgeable parameters passed to {status}_{type} hook leading to action name collision.
Quella su Imgur embeds merita attenzione: Imgur era in WordPress’s trusted embed provider list, quindi le sue risposte saltavano il filtering usuale. WordPress 7.1.3 rimuove Imgur da quella lista.
Come Aggiornare WordPress 7.1.3 in Produzione
Nella mia procedura di update, seguo sempre tre fasi: testing, deployment, verification.
Step 1: Backup Completo
wp db export backup-$(date +%s).sql
tar czf wordpress-backup-$(date +%Y%m%d).tar.gz /var/www/wp-content/
Step 2: Update da Dashboard
Potete scaricare WordPress 7.1.3 da WordPress.org, oppure visitare Dashboard > Updates e cliccare “Update Now”.
Se il vostro hosting supporta gli automatic background updates (cosa che consiglio a tutti), il sistema aggiornerà automaticamente versioni minor e security.
Step 3: Verifica Post-Update
wp core version
wp plugin list --update=available
wp theme list --update=available
Verificate che non ci siano plugin/theme incompatibili che blocchino il sito.
Per Hosting Managed (Plesk, cPanel)
Se usate Plesk, l’update è ancora più semplice:
plesk bin extension --enable wordpress-toolkit
plesk bin wp_cli --execute "wp core update"
Per cPanel con AutoFixer:
uapi WordPress do_update wordpress=/home/username/public_html version=7.1.3
Monitoraggio Post-Deployment
Nel mio workflow post-update verifico sempre:
- PHP Error Log:
tail -f /var/log/php-fpm/error.log - Site Health: Visitate Tools > Site Health in wp-admin
- Comment Functionality: Testate comment submission e moderation
- Export Functionality: Provate un export WXR ridotto
- Security Scan: Usate Wordfence o Sucuri per verificare che non ci sia malware residuo
Connessione con la Compliance NIS2 e CRA
In Italia, questo aggiornamento non è “opzionale” se il vostro sito supporta critiche infrastrutture. Poiché è una security release, è raccomandato aggiornare i vostri siti immediatamente.
Se ricordate la mia checklist NIS2 Compliance per il 31 ottobre 2026, gli update di sicurezza timely sono un requirement esplicito della baseline di rischio. Patch missing vulnerabilità = non compliance.
Inoltre, il Cyber Resilience Act che parte dall’11 settembre 2026 richiede “keeping software up to date” come controllo baseline.
Strategia di Prevenzione Long-Term
Una vulnerabilità stored XSS nei commenti mi ha insegnato che la superficialità negli update di sicurezza costa caro. Ecco la mia checklist:
- Enable Automatic Updates: Almeno per security releases. In wp-config.php:
define('WP_AUTO_UPDATE_CORE', 'minor');per major, o ‘true’ solo per minor - Comment Security Hardening: Moderate tutti i commenti prima di approvazione, anche da utenti registrati
- Database Hardening: Database user WITH LEAST PRIVILEGES. Non usate l’account root per WordPress
- WAF Rules: ModSecurity + OWASP CRS per bloccare payload XSS comuni
- Monitoring Security Alerts: Subscribe a WordPress security mailing list
- Test Environment**: Sempre un staging server identico a production dove testare updates prima del deploy
FAQ
Devo aggiornare se non accetto commenti pubblici?
Tecnicamente il risk della stored XSS commenti scende, ma gli altri 6 fix (DoS, SQL injection, etc.) restano critici. Aggiornate comunque.
Posso rimandare l’update a causa di compatibilità plugin?
No. Siti che accettano commenti non dovrebbero rimandare questo update al prossimo maintenance window. Se un plugin break con 7.1.3, dovete risolvere il plugin, non rischiare XSS. Potete:
- Disabilitare il plugin fino a fix
- Contattare lo sviluppatore
- Migrare verso alternativa compatibile
Come verifico se il mio sito è stato compromesso dalla XSS?
Se siete su versione < 7.1.3 e accettate commenti, è possibile (ma non garantito) che i vostri admin siano stati esposti. Controllate:
- User audit log: check per account admin creati inaspettatamente
- Database query logs: search per INSERT INTO wp_users
- Malware scanner: Wordfence, Sucuri, MalCare
- Recent comments in admin: cercate payload sospetti
La SQL injection nel WXR export colpisce il mio sito se non faccio export?
Tecnicamente no, se non eseguite export WXR. Ma aggiornate comunque perché potrebbe avvenire:
- Un attaccante forza un export da admin account compromesso
- Un plugin automatizza export periodici
- Fate migration a nuovo server (che include export)
WordPress 7.1.3 broke il mio sito dopo l’update. Che faccio?
Seguite la mia procedura di rollback:
- Ripristinate il backup database:
wp db import backup-xxxxx.sql - Ripristinate i file WordPress da backup
- Re-test
- Contattate il vostro hosting o aprite issue su WordPress forums con errore specifico
Pantheon ha deployato virtual patching (WAF rules) contro lo sfruttamento della stored XSS, ma i clienti devono aggiornare appena possibile. La stessa cosa vale per vostri WAF.
Conclusione: La Sicurezza Non Aspetta
Ho visto troppe volte amministratori rimandare gli aggiornamenti di WordPress per “non rischiare break”. Questo è il pensiero sbagliato. Il rischio di security vulnerability non patchata è infinitamente maggiore di un plugin incompatibile (che si risolve in ore).
WordPress 7.1.3 è stata rilasciata il 6 ottobre 2026 con 7 fix di sicurezza e 4 bug fix. Stored XSS nei commenti, DoS in WP_Http, SQL injection nel WXR export—questi non sono edge cases. Sono vettori di attacco reali, alcuni già in esplorazione attiva secondo Patchstack.
Aggiornate oggi. Non domani, non al prossimo maintenance window. L’update è automatico su molti siti, ma se il vostro non supporta background updates, fate manual deployment seguendo i miei step.
Nel mio hosting, verifichiamo che tutte le istanze WordPress siano su versione corrente tramite script Plesk-based, parte della baseline di sicurezza che mantengo in produzione. Voi dovreste fare lo stesso.
Avete domande su come aggiornare il vostro WordPress in sicurezza, o volete che analizziamo altre vulnerabilità di questo release? Lasciate un commento qui sotto.