Una vulnerabilità in Elementor per WordPress (CVE-2026-62062) permette la creazione non autorizzata di account amministratore. Aggiornare subito i siti aziendali alla versione 4.3.2.
Il 22 settembre 2026 il ricercatore di sicurezza informatica noto come "Saggre" ha segnalato alla società Patchstack una grave vulnerabilità Elementor WordPress account amministratore, identificata formalmente con il codice CVE-2026-62062. Il difetto di sicurezza colpisce le versioni 4.3.0 e 4.3.1 del noto plugin Elementor Website Builder, attualmente stimate su circa due milioni di siti web attivi. Per proteggere l'infrastruttura web aziendale, i titolari e i responsabili IT devono aggiornare immediatamente il componente alla versione correttiva 4.3.2.
Dinamica tecnica dell'attacco (CVE-2026-62062)
La vulnerabilità è classificata come Cross-Site Request Forgery (CSRF / CWE-352) e ha ottenuto un punteggio di gravità CVSS v3.1 pari a 8.8, che indica un impatto elevato sfruttabile tramite rete con interazione dell'utente richiesta. I bollettini di sicurezza, resi pubblici il 25 settembre 2026, chiariscono il meccanismo di compromissione.
Il problema risiede nel modulo interno denominato "Editor Events", parte del componente Events Manager. Questo modulo verificava l'URI grezzo delle richieste alla ricerca della stringa /elementor/v1/events/. Quando il sistema rilevava tale stringa, disattivava i controlli di sicurezza standard di WordPress (la validazione dei nonce) per le chiamate REST API.
Poiché i parametri di query dell'URI possono essere controllati e manipolati dall'esterno, un utente malintenzionato poteva concatenare il percorso vulnerabile a qualsiasi altra chiamata REST. Questo include le API native di WordPress destinate alla creazione di nuovi utenti.
L'attacco si concretizza con una modalità "one-click", senza richiedere l'uso di JavaScript o la compilazione di moduli complessi. L'attaccante invia un collegamento malevolo a un amministratore del sito tramite email, messaggio istantaneo o inserendolo in un commento sul portale. Se l'amministratore apre il collegamento mentre la sua sessione su WordPress è ancora attiva nel browser, il sistema elabora la richiesta non autorizzata e genera un nuovo account con privilegi di amministratore, consegnandone il controllo all'attaccante.
Impatto sulle PMI e versioni coinvolte
Elementor conta oltre 10 milioni di installazioni attive a livello globale ed è uno degli strumenti di composizione visiva più utilizzati dalle piccole e medie imprese italiane per gestire siti vetrina ed e-commerce.
Le versioni direttamente vulnerabili a questo specifico attacco sono:
- Elementor Website Builder 4.3.0
- Elementor Website Builder 4.3.1
Le installazioni che utilizzano Elementor Pro sono ugualmente a rischio, in quanto si appoggiano al plugin gratuito di base. Le versioni precedenti alla 4.3.0 non includono il componente "Editor Events" vulnerabile, ma presentano altre falle di sicurezza note e necessitano comunque di essere aggiornate.
Se un'azienda ha ricevuto l'aggiornamento alle versioni 4.3.0 o 4.3.1, spesso tramite i sistemi di aggiornamento automatico di WordPress, l'apertura distratta di un singolo collegamento da parte di un redattore o di un tecnico autenticato compromette l'intero portale. L'acquisizione dei privilegi amministrativi permette all'attaccante di modificare i contenuti aziendali, installare estensioni malevole o backdoor per mantenere l'accesso nel tempo, e causare blocchi operativi del sito. Inoltre, l'accesso al database espone l'azienda al furto di dati personali dei clienti, innescando gli obblighi di notifica per violazione dei dati (data breach) entro 72 ore previsti dalla normativa GDPR.
Cosa fare per mettere in sicurezza il sito
Il team di sviluppo di Elementor ha rilasciato la versione risolutiva il 24 settembre 2026. Per ripristinare la sicurezza dell'infrastruttura web, è necessario eseguire questi passaggi:
- Aggiornamento immediato: Accedere alla bacheca di amministrazione di WordPress e aggiornare il plugin Elementor alla versione 4.3.2 o successiva. Questa correzione rappresenta la soluzione definitiva, in quanto convalida correttamente il percorso di instradamento REST ed esclude la manipolazione tramite i parametri di query.
- Verifica degli account utente: Navigare nella sezione Utenti > Tutti gli utenti del pannello WordPress. Controllare minuziosamente la lista per assicurarsi che non siano presenti account con ruolo di "Amministratore" sconosciuti o creati a partire dal 22 settembre 2026.
- Analisi dei log web: Se il sito ha operato con le versioni 4.3.0 o 4.3.1, i tecnici IT devono ispezionare i log del server web. L'obiettivo è individuare eventuali richieste HTTP sospette che contengano il parametro
elementor/v1/events/combinato con l'endpoint di creazione utenti/wp-json/wp/v2/users. - Buone pratiche operative: Istruire il personale a non cliccare mai su collegamenti esterni ricevuti via email o chat utilizzando lo stesso browser in cui è attiva una sessione di amministrazione del sito aziendale.
Verificare tempestivamente la versione di Elementor installata e i log di sistema è il passaggio fondamentale per garantire l'integrità dei dati aziendali.
