CVE-2026-100109: creazione di admin nel plugin Security For WooCommerce, verifica e patch

Se il tuo negozio WordPress usa il plugin Security For WooCommerce in una versione tra la 1.0.10 e la 1.0.16, chiunque su internet può crearsi un account amministratore senza login e prendere il controllo del sito. La vulnerabilità ha identificativo CVE-2026-100109 e punteggio CVSS 9.8, gravità critica. Qui trovi cosa è noto, come controllare se sei esposto e cosa fare nell'ordine giusto.

Cosa è successo: la vulnerabilità CVE-2026-100109 in Security For WooCommerce

Il plugin espone un'azione raggiungibile da visitatori non autenticati che crea utenti WordPress. Secondo la descrizione ufficiale, questa azione non esegue alcun controllo di capability (cioè non verifica che chi chiama abbia il permesso di creare utenti) e lascia scegliere al chiamante il ruolo del nuovo account. Il risultato è una vulnerabilità di tipo escalation di privilegi senza autenticazione: un attaccante invia una richiesta, indica il ruolo amministratore e ottiene un accesso completo alla bacheca. Da lì può installare plugin malevoli, modificare i file del tema, esfiltrare i dati clienti e ordini di WooCommerce e cambiare le credenziali esistenti.

Chi è colpito: versioni vulnerabili di Security For WooCommerce

Dalla descrizione pubblicata su NVD risultano vulnerabili le versioni del plugin dalla 1.0.10 alla 1.0.16 incluse. Non è indicata una versione corretta nella descrizione ufficiale: la disponibilità di una release con la correzione va verificata sull'advisory del produttore e sulla pagina del plugin nel repository di WordPress.org. Se usi una versione fuori da quell'intervallo, controlla comunque il changelog prima di considerarti al sicuro.

Il plugin è pensato per siti WooCommerce, quindi il rischio riguarda soprattutto e-commerce: i dati esposti includono anagrafiche clienti, indirizzi, storico ordini e, a seconda della configurazione dei pagamenti, informazioni finanziarie.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il punteggio è 9.8 CRITICAL, con vettore CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tradotto: attacco via rete (AV:N), bassa complessità (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione dell'utente (UI:N), impatto alto su riservatezza, integrità e disponibilità. In pratica basta una singola richiesta HTTP ben formata.

Nel catalogo CISA KEV la vulnerabilità non risulta sfruttata attivamente. Questo non è un motivo per rimandare: le falle di creazione utente senza autenticazione sui plugin WordPress vengono in genere integrate rapidamente negli strumenti di scansione automatica usati dagli attaccanti. Un caso simile, sempre con escalation ad amministratore, è descritto nell'articolo su CVE-2026-120318 nel plugin Product Gallery Slider.

Come capire se sei esposto: verifica versione, esposizione e log

Verifica della versione installata

• Dalla bacheca: Plugin > Plugin installati, cerca Security For WooCommerce e leggi il numero di versione sotto il nome.
• Con WP-CLI via SSH: wp plugin list mostra nome, stato e versione di ogni plugin.
• Da file: apri wp-content/plugins/, entra nella cartella del plugin e leggi l'intestazione del file PHP principale, dove compare la riga Version.

Esposizione del servizio

Il sito è esposto per definizione, perché un e-commerce è pubblico. Il punto non è la raggiungibilità ma il fatto che il plugin sia attivo: anche un plugin installato ma disattivato non espone le sue azioni, ma resta un file da aggiornare o rimuovere. Se il sito è dietro un WAF o un reverse proxy, controlla se esistono regole che filtrano le chiamate a wp-admin/admin-ajax.php e alla REST API, che sono i canali tipici per le azioni accessibili ai visitatori non autenticati. L'advisory non dettaglia l'endpoint esatto, quindi non affidarti a un filtro generico come unica difesa.

Log e indicatori di compromissione

• Utenti: in Utenti > Tutti gli utenti filtra per ruolo Amministratore e cerca account che non riconosci. Con WP-CLI: wp user list --role=administrator. Controlla anche la data di registrazione nella tabella wp_users (campo user_registered).
• Access log del web server: richieste POST verso admin-ajax.php o verso endpoint REST da IP sconosciuti, seguite a breve distanza da accessi a wp-login.php e alla bacheca dallo stesso IP.
• File modificati di recente: plugin o temi non installati da te, file PHP in wp-content/uploads, modifiche a wp-config.php o .htaccess.
• Impostazioni: email dell'amministratore cambiata, nuove chiavi applicazione, cron sconosciuti.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

La correzione definitiva è l'aggiornamento del plugin a una versione che ripristini il controllo di capability e impedisca al chiamante di scegliere il ruolo. La versione corretta non è riportata nella descrizione ufficiale: verifica sull'advisory del produttore e sulla scheda del plugin su WordPress.org quale release contiene la correzione. L'aggiornamento si applica da Plugin > Plugin installati > Aggiorna ora, oppure con wp plugin update seguito dal nome del plugin.

Se una versione corretta non è ancora disponibile, il rimedio è disattivare ed eliminare il plugin finché non esce la patch. Non limitarti a disattivarlo se puoi farne a meno: un plugin rimosso non può essere riattivato per errore. Prima di eliminarlo, annota le impostazioni che dovrai ripristinare.

Cosa fare subito: mitigazioni e hardening

1. Disattiva il plugin se sei nella fascia 1.0.10-1.0.16 e non hai ancora una versione corretta da installare.
2. Controlla gli amministratori e rimuovi ogni account non riconosciuto, dopo aver salvato i log per l'analisi.
3. Ruota le credenziali: password di tutti gli amministratori, chiavi e salt in wp-config.php (invalida le sessioni attive), password del database, chiavi API dei gateway di pagamento e degli strumenti collegati a WooCommerce.
4. Attiva l'autenticazione a due fattori per tutti gli utenti con ruolo amministratore o negozio.
5. Limita gli accessi alla bacheca per IP o tramite VPN se il tuo team lavora da postazioni fisse.
6. Fai un backup pulito appena hai verificato l'integrità del sito, così hai un punto di ripristino certo.

Queste misure non sostituiscono la patch. Un contratto di manutenzione e assistenza del sito serve esattamente a questo: aggiornamenti seguiti, backup testati e un referente che legge gli advisory al posto tuo.

Se sospetti una compromissione: incident response e analisi forense

Se trovi un amministratore sconosciuto, il sito va trattato come compromesso. Nell'ordine:

• Non cancellare nulla e non reinstallare WordPress da zero: distruggeresti le prove e non sapresti cosa è stato esfiltrato.
• Preserva i log del web server, del database e di eventuali plugin di sicurezza; se il server è tuo, conserva anche i log di sistema. Se possibile, fai uno snapshot della macchina prima di ogni intervento.
• Esegui una copia forense dei file e del database, con hash, in modo che l'analisi e un'eventuale denuncia abbiano una base verificabile.
• Metti il sito in manutenzione o isolalo, poi procedi alla bonifica su una copia e al ripristino da backup antecedente alla compromissione.
• Valuta la notifica: se sono coinvolti dati personali dei clienti, il GDPR prevede obblighi di notifica al Garante e, nei casi più gravi, agli interessati. Un e-commerce con anagrafiche e ordini rientra quasi sempre in questa situazione.

Come perito informatico forense mi occupo sia della risposta all'incidente sia dell'acquisizione delle prove. L'incident response parte da 1.500 € e un audit di sicurezza del sito da 2.000 €, con preventivo a prezzo fisso.

Fonti ufficiali

• NVD (National Vulnerability Database): scheda CVE-2026-100109, con descrizione e vettore CVSS.
• CISA Known Exploited Vulnerabilities Catalog: da consultare per sapere se la falla viene aggiunta tra quelle sfruttate.
• GitHub Security Advisories: advisory collegato al plugin.
• Pagina del plugin Security For WooCommerce su WordPress.org, sezione changelog, per la versione con la correzione.

Se non sei sicuro di quale versione del plugin stai usando, o vuoi una verifica completa del tuo WooCommerce dopo questa segnalazione, chiedi un preventivo gratuito: rispondo entro 24 ore. Per un'urgenza puoi scrivermi direttamente dalla pagina contatti, anche su WhatsApp.