CVE-2026-102435: cancellazione file in Ultra Addons for Contact Form 7, verifica e patch

CVE-2026-102435 è una vulnerabilità critica (CVSS 9.8) nel plugin WordPress Ultra Addons for Contact Form 7, in tutte le versioni fino alla 3.5.54 inclusa. Un attaccante senza credenziali può cancellare file arbitrari sul server quando l'add-on PDF Generator è attivo e almeno un modulo Contact Form 7 è configurato per generare PDF. Cancellando il file giusto, per esempio wp-config.php, la falla può portare all'esecuzione di codice remoto. Se gestisci un sito WordPress con questo plugin, verifica subito la versione e lo stato dell'add-on PDF.

Cosa è successo: la vulnerabilità CVE-2026-102435 in Ultra Addons for Contact Form 7

Il problema sta nella funzione _getObjAttr del plugin, che non convalida a sufficienza il percorso dei file. La cancellazione viene completata attraverso una catena di oggetti (POP gadget chain) che sfrutta la classe WPCF7_Submission di Contact Form 7 e il suo metodo __destruct(). In pratica il plugin si fida di un percorso controllato dall'esterno e lo passa a una routine di eliminazione file. La vulnerabilità è stata pubblicata il 2 novembre 2026 ed è classificata come cancellazione arbitraria di file.

Chi è colpito: versioni vulnerabili di Ultra Addons for Contact Form 7

Dal brief ufficiale risultano colpite:

• tutte le versioni di Ultra Addons for Contact Form 7 (slug ultimate-addons-for-contact-form-7) fino alla 3.5.54 inclusa;
• solo le installazioni con l'add-on PDF Generator attivo e con almeno un modulo Contact Form 7 configurato per la generazione di PDF.

Se il plugin è installato ma la funzione PDF Generator è disattivata, secondo la descrizione ufficiale la falla non è sfruttabile. Non è comunque un motivo per rimandare l'aggiornamento: basta che qualcuno attivi la funzione in futuro per tornare esposti.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il punteggio è 9.8 su 10, gravità critica, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tradotto: attacco via rete, bassa complessità, nessun privilegio e nessuna interazione dell'utente richiesti, impatto alto su riservatezza, integrità e disponibilità.

Cosa ottiene un attaccante: la cancellazione di file arbitrari. Eliminando wp-config.php WordPress riparte in modalità installazione, e questo apre la strada a una configurazione pirata del sito e quindi all'esecuzione di codice remoto (RCE). Al momento la vulnerabilità non risulta nel catalogo CISA KEV, quindi non c'è conferma ufficiale di sfruttamento attivo. Il codice del plugin è pubblico e la catena di sfruttamento è descritta nell'advisory, per cui conviene trattarla come se gli exploit fossero imminenti.

Come capire se sei esposto: verifica versione, esposizione e log

Versione del plugin

• Da bacheca: Plugin > Plugin installati, cerca Ultra Addons for Contact Form 7 e leggi il numero di versione.
• Da riga di comando con WP-CLI: wp plugin list --name=ultimate-addons-for-contact-form-7, oppure leggi l'intestazione del file wp-content/plugins/ultimate-addons-for-contact-form-7/ultimate-addons-for-contact-form-7.php.

Stato dell'add-on PDF Generator

• Apri il menu del plugin (Ultimate Addons) nella bacheca e verifica se l'add-on PDF Generator è attivo.
• Apri ogni modulo in Contatti > Moduli di contatto e controlla le impostazioni PDF Generator: l'opzione Enable PDF Generator attiva su almeno un modulo rende lo sfruttamento possibile.
• Verifica la presenza della cartella addons/pdf-generator dentro la directory del plugin.

Esposizione

I moduli di contatto sono per definizione pubblici: se il sito è raggiungibile da internet, l'endpoint di invio dei form lo è. Non serve un servizio aggiuntivo esposto, basta la pagina con il modulo.

Log e indicatori di compromissione

• Controlla che wp-config.php, .htaccess e i file core esistano e abbiano date di modifica coerenti.
• Nei log di accesso del web server cerca richieste POST anomale verso gli endpoint di invio di Contact Form 7 (REST /wp-json/contact-form-7/v1/contact-forms/ e admin-ajax.php) con dati insoliti o ripetuti da pochi IP.
• Se il sito è tornato alla schermata di installazione di WordPress senza motivo, considera il sito compromesso.
• Cerca file PHP recenti in wp-content/uploads e utenti amministratori sconosciuti.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

Le fonti rimandano a un changeset nel repository ufficiale del plugin, segno che lo sviluppatore ha pubblicato un intervento sul codice. Il numero esatto della versione corretta va verificato nel changelog del plugin su wordpress.org e nell'advisory di Wordfence linkata in fondo. La regola operativa è semplice: aggiorna a una versione successiva alla 3.5.54 e controlla nel changelog che la correzione a CVE-2026-102435 sia citata.

1. Fai un backup completo di file e database prima di aggiornare.
2. Aggiorna da Plugin > Plugin installati oppure con wp plugin update ultimate-addons-for-contact-form-7.
3. Verifica che la versione installata sia quella corretta e che i moduli con PDF funzionino ancora.

Se per qualunque motivo non puoi aggiornare subito, disattiva l'add-on PDF Generator o disabilita la generazione PDF su tutti i moduli: secondo la descrizione ufficiale questo blocca la catena di sfruttamento.

Cosa fare subito: mitigazioni e hardening

1. Disattiva PDF Generator finché non hai aggiornato. È la misura più efficace e costa pochi minuti.
2. Aggiorna il plugin alla versione corretta e attiva gli aggiornamenti automatici almeno per i plugin di sicurezza.
3. Riduci i permessi sui file: l'utente del web server non dovrebbe poter cancellare wp-config.php. Permessi 440 o 400 su quel file sono una buona pratica.
4. Metti un WAF davanti al sito (plugin o a livello di hosting) per filtrare richieste malformate verso gli endpoint dei form.
5. Verifica i backup: un backup recente e testato trasforma un disastro in un'ora di lavoro.
6. Ruota le credenziali di database, FTP/SFTP e amministratori se trovi segni di accesso anomalo.

Questi passaggi valgono per qualunque sito WordPress, e li ho dettagliati nella guida sui 10 controlli di sicurezza per un sito WordPress. Il meccanismo è simile a quello di altre falle di cancellazione file che ho descritto, come CVE-2026-96633 in AdminNeo.

Se sospetti una compromissione: incident response e analisi forense

Se il sito mostra la schermata di installazione, se mancano file o se trovi utenti e file sconosciuti, non limitarti a ripristinare un backup e andare avanti. Rischi di cancellare le prove e di non capire da dove è entrato l'attaccante.

• Non spegnere il server e non reinstallare: metti il sito in manutenzione o bloccalo a livello di firewall.
• Preserva i log del web server, di PHP e del database prima che ruotino.
• Esegui una copia forense dello spazio web e, se disponibile, della memoria del server.
• Valuta se ci sono dati personali coinvolti: in quel caso la notifica al Garante entro 72 ore prevista dal GDPR può essere dovuta.

Nel mio studio seguo questi casi come incident response e, dove serve, come perizia informatica utilizzabile in sede legale o assicurativa. Gli interventi di incident response partono da 1.500 € con preventivo a prezzo fisso.

Fonti ufficiali

• Advisory Wordfence su CVE-2026-102435
• Changeset 3738548 nel repository del plugin
• Codice dell'add-on PDF Generator (versione 3.5.52)

Serve una verifica sul tuo sito WordPress?

Se non sai quale versione hai installato, se PDF Generator è attivo o se il sito mostra segni strani, posso fare un controllo rapido dell'esposizione e, se serve, gestire l'aggiornamento e l'analisi. Richiedi un preventivo gratuito, rispondo entro 24 ore, oppure scrivimi dalla pagina contatti anche via WhatsApp.