Allerte Sicurezza
CVE-2026-86596: RCE nel plugin WordPress s2Member, come verificare e aggiornare
6 min
Il plugin BuddyBoss App per WordPress, in tutte le versioni fino alla 3.2.1 inclusa, ha una vulnerabilità di tipo Arbitrary File Upload identificata come CVE-2026-76124. Un utente registrato con ruolo subscriber, quindi il livello più basso, può caricare file potenzialmente eseguibili e arrivare a una esecuzione di codice remoto sul server. Il punteggio CVSS è 8.8 (HIGH). Non risulta sfruttata attivamente nel catalogo CISA KEV. Se usi questo plugin, verifica subito la versione e controlla l'advisory per la versione corretta.
Cosa è successo: la vulnerabilità CVE-2026-76124 in BuddyBoss App
Il problema è nella funzione send_feedback del plugin. Quando un utente invia un feedback con un allegato, il plugin decide se il file è accettabile guardando solo l'intestazione Content-Type inviata dal client. Non controlla il contenuto reale del file lato server e non verifica l'estensione. Chi attacca può quindi dichiarare un file PHP come immagine e farlo accettare.
Il plugin cancella l'allegato dopo l'invio dell'email, ma ci sono due finestre di esposizione. La prima è una race condition: durante l'invio SMTP il file è già sul disco e può essere richiamato. La seconda è più grave: se wp_mail() fallisce, il file non viene cancellato e resta sul server a tempo indefinito.
Chi è colpito: versioni vulnerabili di BuddyBoss App
- Prodotto: plugin BuddyBoss App per WordPress.
- Versioni vulnerabili: tutte le versioni fino alla 3.2.1 inclusa.
- Prerequisito per l'attaccante: un account autenticato con ruolo subscriber o superiore.
Sono particolarmente a rischio le community, i portali di corsi e le piattaforme a iscrizione aperta, dove chiunque può creare un account con pochi clic. Se la registrazione è chiusa e gli utenti sono pochi e fidati, il rischio è minore ma non assente: basta una credenziale rubata o un vecchio account dimenticato.
Quanto è grave: punteggio CVSS e sfruttamento attivo
Il vettore è CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, punteggio 8.8, gravità HIGH. In pratica:
- AV:N, AC:L: attacco via rete, senza condizioni particolari.
- PR:L: servono privilegi bassi, un semplice utente registrato.
- UI:N: nessuna interazione da parte di un amministratore.
- C:H, I:H, A:H: impatto alto su riservatezza, integrità e disponibilità.
Cosa ottiene un attaccante: una remote code execution sul server web. Da lì può leggere il file wp-config.php con le credenziali del database, creare un amministratore, installare una backdoor, esfiltrare dati degli utenti o usare il server per altre attività. Al momento non risulta sfruttamento attivo nel catalogo CISA KEV, ma le vulnerabilità di upload sui plugin WordPress vengono spesso automatizzate in tempi brevi.
Come capire se sei esposto: verifica versione, esposizione e log
Versione del plugin
Da bacheca: Plugin > Plugin installati, cerca BuddyBoss App e leggi la versione. Da terminale, se hai WP-CLI:
wp plugin list | grep -i buddyboss
Se la versione è 3.2.1 o inferiore sei vulnerabile.
Chi può registrarsi
Vai in Impostazioni > Generali e controlla l'opzione Chiunque può registrarsi. Poi in Utenti ordina per data e verifica gli account recenti con ruolo subscriber: nomi casuali, email usa e getta, registrazioni a raffica sono segnali da approfondire.
File sospetti nella cartella uploads
Cerca file eseguibili dove non dovrebbero esserci:
find wp-content/uploads -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \) -mtime -30
Controlla anche la cartella temporanea usata dal plugin per gli allegati del feedback: il percorso esatto va verificato nell'advisory e nel codice della tua installazione.
Log e indicatori
- Nel log degli accessi del web server, cerca richieste POST collegate alla funzione di invio feedback seguite da richieste GET a file con estensione insolita dentro uploads.
- Verifica gli errori di invio email: se wp_mail() fallisce spesso, è probabile che eventuali file caricati siano rimasti sul disco.
- Controlla cron job, file modificati di recente nel core e nei temi, nuovi utenti amministratori.
Per un controllo più ampio ho raccolto i punti principali nell'articolo sul sito WordPress sicuro con 10 controlli di sicurezza.
Come risolvere la vulnerabilità: patch, aggiornamento e rimedio
La descrizione ufficiale indica come vulnerabili tutte le versioni fino alla 3.2.1 inclusa. La versione che corregge il problema e la disponibilità della patch vanno verificate sull'advisory del produttore e sulla scheda Wordfence linkata in fondo. Se è disponibile una release successiva alla 3.2.1 che risolve CVE-2026-76124, aggiorna da Plugin > Plugin installati oppure con:
wp plugin update buddyboss-app
Verifica lo slug reale del plugin nella tua installazione prima di lanciare il comando. Se la correzione non è ancora pubblicata, applica subito i workaround della sezione seguente. Aggiorna prima su un ambiente di staging se il sito è di produzione con molti utenti.
Cosa fare subito: mitigazioni e hardening
- Disattiva il plugin se non è indispensabile e la patch non è disponibile. È la mitigazione più efficace.
- Chiudi le registrazioni temporaneamente, o aggiungi una verifica manuale dei nuovi account.
- Blocca l'esecuzione di PHP in uploads. Su Apache, un file .htaccess nella cartella con una regola che nega l'esecuzione degli script; su Nginx, una location che restituisce 403 per i file .php sotto wp-content/uploads. Questo riduce l'impatto anche se un file viene caricato.
- Verifica l'invio email. Un SMTP mal configurato fa fallire wp_mail() e lascia i file sul server. Configura un invio affidabile e controlla che funzioni.
- Rivedi gli utenti: elimina account dormienti e sospetti, imposta password robuste, attiva l'autenticazione a due fattori per i ruoli elevati.
- WAF: se usi un firewall applicativo, controlla se il fornitore ha pubblicato una regola per questa vulnerabilità.
- Backup verificato prima di ogni intervento, su una destinazione separata dal server web.
Un piano di manutenzione e assistenza del sito serve esattamente a questo: aggiornamenti controllati, backup testati e verifiche periodiche, così da non scoprire le falle a danno avvenuto.
Se sospetti una compromissione: incident response e analisi forense
Se trovi file PHP sconosciuti in uploads, utenti amministratori non creati da te o richieste anomale nei log, considera il sito compromesso fino a prova contraria. In quel caso:
- Non cancellare nulla e non "pulire" a mano: distruggeresti le tracce utili a capire cosa è stato fatto e da quando.
- Non spegnere il server se puoi evitarlo: isola la macchina dalla rete o metti il sito in manutenzione, ma preserva memoria, processi e sessioni attive.
- Preserva i log del web server, di PHP, del database e del pannello hosting, esportandoli su un supporto separato.
- Copia forense del file system e del database prima di qualsiasi bonifica, con calcolo degli hash, così che il materiale sia utilizzabile anche in sede legale.
- Rotazione delle credenziali: database, FTP/SFTP, pannello hosting, chiavi API, salt di WordPress, account amministratori.
- Valuta la notifica: se sono coinvolti dati personali degli utenti, il GDPR prevede obblighi di notifica al Garante e, nei casi più gravi, agli interessati. Documenta tutto.
Nello studio gestisco questi interventi come incident response con analisi forense: contenimento, acquisizione delle evidenze, ricostruzione dell'attacco e relazione tecnica. I prezzi indicativi partono da 1.500 € per l'incident response, con preventivo a prezzo fisso dopo una prima valutazione.
Fonti ufficiali
Per il plugin collegato BuddyPress ho trattato di recente un'altra falla sui file nell'articolo su CVE-2026-120518 e la cancellazione di file in BuddyPress XProfile Image Field.
Hai bisogno di aiuto con CVE-2026-76124?
Se gestisci una community su BuddyBoss e non sei sicuro di essere protetto, posso verificare la versione, i file caricati e i log, applicare le mitigazioni e, se serve, fare un'analisi forense del server. Richiedi un preventivo gratuito: rispondo entro 24 ore, anche via WhatsApp.
