Se hai ricevuto una mia email che rimanda a questa pagina, è perché il tuo sito sembra utilizzare una versione di Advanced Responsive Video Embedder (il plugin WordPress che di solito compare come ARVE, cartella advanced-responsive-video-embedder) che è stata pubblicata con una backdoor al suo interno. Questa pagina spiega cosa è successo, come verificare quale versione hai e cosa fare.

Questo avviso è diverso da un normale invito ad aggiornare, in due modi che contano, quindi leggi i due paragrafi seguenti prima di fare qualsiasi altra cosa.

La bacheca non ti offrirà una via d’uscita. Nessun rilascio risolve il problema, e WordPress.org ha chiuso il plugin il 28 luglio 2026, il che significa che il servizio di aggiornamento non risponde più per esso: la bacheca di WordPress dirà che non è disponibile alcun aggiornamento mentre il codice con la backdoor continua a essere caricato a ogni richiesta al tuo sito. Il sito sembra perfettamente in salute e non lo è. Esiste sì una versione pulita che puoi installare a mano (la 10.8.9, di cui si parla più sotto), ma non arriverà nulla da solo, e cliccare «aggiorna» non ti ci porterà.

Il passo che serve è disattivare o eliminare il plugin. Questo impedisce al codice di essere caricato. Tutto il resto di questa pagina discende da qui.

Il problema è tracciato come CVE-2026-18072.

Questo messaggio è legittimo?

Sì. È un avviso di divulgazione responsabile, in buona fede, da parte di un ricercatore di sicurezza indipendente. Non ti chiedo denaro, password o accesso al sito, e non ho tentato di entrarci, di inviargli qualcosa né di sfruttare alcunché.

Mi sono limitato a guardare file pubblici che il tuo sito serve a qualsiasi visitatore (allo stesso modo in cui la tua home page è pubblica) e ad annotare il numero di versione che il plugin ARVE pubblica. Tutto ciò che so sulla backdoor in sé deriva dal confronto tra gli archivi di rilascio ufficiali del plugin su WordPress.org, non dal tuo sito (maggiori dettagli in Cosa ho fatto e cosa non ho fatto).

Se vuoi verificare chi sono, trovi i contatti in fondo a questa pagina e nella pagina Chi sono.

Cosa è successo

ARVE è un plugin di lunga data per l’inserimento di video, presente da anni nella directory ufficiale e mantenuto alla luce del sole. Ciò che è andato storto non è stato un errore di programmazione nel plugin: è stata una compromissione del canale di rilascio. Qualcuno è riuscito a pubblicare versioni sotto il nome del plugin.

Due rilasci di questo tipo sono usciti il 28 luglio 2026:

  • 10.8.7, pubblicata verso le 13:00 UTC.
  • 10.8.8, pubblicata circa tre ore dopo. La 10.8.8 non è una correzione. Contiene la stessa backdoor, riscritta in modo da trovarsi all’interno dei file legittimi del plugin anziché in un file separato e riconoscibile. Il suo changelog non menziona affatto la 10.8.8.

Quel secondo rilascio è il motivo per cui questo avviso esiste in questa forma. La reazione naturale a «la 10.8.7 è compromessa» è passare alla versione successiva, e qui la versione successiva è lo stesso problema con un vestito migliore.

  • La 10.8.6 è l’ultima versione pubblicata prima che tutto questo accadesse, ed è pulita.
  • La 10.8.9 è lo stesso codice pulito, ripubblicato. Il 3 agosto 2026 la versione 10.8.6 è stata ripubblicata invariata con il numero più alto 10.8.9. Non corregge nulla: le due sono identiche byte per byte a parte le stringhe di versione, e lo dice il changelog stesso del plugin. Ma poiché la 10.8.9 si colloca sopra i due rilasci compromessi, installarla è un normale aggiornamento anziché un ritorno a una versione precedente. È la versione a cui passare.

Cosa fa la backdoor

Descritto al livello di dettaglio che ti è utile come proprietario del sito, e non oltre:

  • Installa un gestore di richieste incondizionato, cioè codice che esamina ogni richiesta al tuo sito, comprese quelle di visitatori non autenticati.
  • Quando una richiesta contiene un valore particolare, il gestore autentica quel visitatore come amministratore del tuo sito WordPress. Il valore in questione deriva da informazioni pubbliche sul sito, quindi non è un segreto specifico del sito che un aggressore dovrebbe prima rubare.
  • Invia inoltre l’indirizzo del tuo sito e la versione del plugin a un server di terze parti (l’host fontswp[.]com, scritto qui con le parentesi quadre perché nessuno lo visiti per sbaglio).

Deliberatamente non pubblico il valore esatto né il codice che lo produce. Gli archivi interessati sono ancora scaricabili, e una ricetta aiuterebbe le persone sbagliate più in fretta di quanto aiuterebbe te.

Sono interessato?

Tutto si riduce a una domanda: quale versione di ARVE è installata? Non devi credermi sulla parola: ci sono due modi per controllare.

Dall’area di amministrazione di WordPress (fonte autorevole):

  1. Accedi alla bacheca di WordPress (di solito su tuodominio.it/wp-admin).
  2. Vai su Plugin e poi Plugin installati.
  3. Individua ARVE oppure Advanced Responsive Video Embedder, la voce la cui cartella è advanced-responsive-video-embedder, e leggi la versione indicata sotto il nome.

Dal manifesto pubblico (senza login): apri nel browser tuodominio.it/wp-content/plugins/advanced-responsive-video-embedder/readme.txt. La riga Stable tag: vicino all’inizio è la versione che la tua installazione dichiara, ed è lo stesso file pubblico che ho letto io.

Applica poi questa regola:

  • 10.8.7 o 10.8.8: interessata. Segui i passaggi qui sotto.
  • 10.8.6 o precedente: pulita, per quanto riguarda la backdoor. Nulla di quanto scritto qui ti riguarda, ma tieni presente la nota sulla chiusura del plugin.
  • 10.8.9: pulita. È la 10.8.6 ripubblicata con un numero più alto.
  • Qualsiasi altra cosa, cioè un numero superiore alla 10.8.9 o uno che non compare in questo elenco, non è un rilascio pubblicato nella directory ufficiale. Non dare per scontato che sia sicuro; scrivimi.

Puoi verificare la situazione in autonomia, senza fare affidamento su ciò che dico io: la pagina del plugin nella directory ufficiale, Advanced Responsive Video Embedder, mostra che è stato chiuso.

Cosa fare

1. Disattiva o elimina il plugin. In Plugin e poi Plugin installati, disattiva ARVE. Se puoi, meglio eliminarlo del tutto. È questo il passaggio che ferma l’esecuzione del codice, e richiede pochi secondi. Fallo prima di tutto il resto.

Da riga di comando, WP-CLI fa la stessa cosa:

wp plugin deactivate advanced-responsive-video-embedder
wp plugin delete advanced-responsive-video-embedder

2. Non aspettare che arrivi un aggiornamento. L’ho detto all’inizio e vale la pena ripeterlo, perché è l’errore a cui questa situazione invita. Nessun rilascio risolve il problema, il plugin è stato chiuso quindi non ti verrà proposto nulla in automatico, e una bacheca che riporta «nessun aggiornamento disponibile» non è la prova che vada tutto bene. La versione pulita del passaggio successivo va installata a mano.

3. Se ti servono davvero i video incorporati, installa la 10.8.9. Quel rilascio è pulito ed è scaricabile:

https://downloads.wordpress.org/plugin/advanced-responsive-video-embedder.10.8.9.zip
sha256  faedfcb8502f5e92be1cae5d8fee063c8c599812afc79aac758dd1e9d090718f

Installalo da Plugin, poi Aggiungi nuovo plugin, poi Carica plugin: è un file che carichi tu, non un pulsante che premi, perché il plugin non è più elencato nella directory. Se ne hai la possibilità, verifica la somma di controllo sha256 del file scaricato prima di installarlo.

Sia chiaro che cos’è la 10.8.9, perché il numero trae in inganno: non è una correzione. È la versione 10.8.6, l’ultima uscita prima che tutto questo accadesse, ripubblicata invariata con un numero più alto. Se confronti i due archivi non troverai altre differenze oltre alle stringhe di versione, ed è quello che ci si aspetta. Il motivo per preferirla alla 10.8.6 è puramente pratico: si installa come un normale aggiornamento, e alcuni hosting gestiti rifiutano di installare una versione più vecchia sopra una più recente.

Se invece preferisci installare direttamente la 10.8.6, è altrettanto pulita ed è ancora scaricabile:

https://downloads.wordpress.org/plugin/advanced-responsive-video-embedder.10.8.6.zip
sha256  39770f49365ef2c60a4d074ae13389bc7ccbf6c1a5f33c52b418e4b15943c83f

In ogni caso, tieni presente che questo plugin non riceverà ulteriori aggiornamenti finché resterà chiuso, quindi consideralo un modo per tenere in funzione le tue pagine mentre cerchi un sostituto, non una soluzione permanente.

4. Considera il sito potenzialmente compromesso. Poiché il codice concede l’accesso di amministratore a chiunque lo chieda nel modo giusto, e poiché è rimasto attivo sul tuo sito per tutto il tempo in cui la versione interessata è stata installata, l’ipotesi prudente è che qualcuno possa averlo usato. Non ti sto dicendo che il tuo sito sia stato violato: non ho alcuna visibilità su questo e non ho guardato. È una precauzione, ed è la risposta ordinaria a una backdoor che è rimasta in funzione in pubblico.

Se vuoi un’indagine come si deve, fai un backup completo e conserva i log di accesso del tuo server web prima di modificare qualsiasi cosa, perché disattivare il plugin e sostituire le credenziali sovrascriverà parte di ciò che un investigatore vorrebbe vedere.

Poi:

  • Rigenera le chiavi segrete e i «salt» in wp-config.php. I nuovi valori sono a un clic dal generatore ufficiale. Sostituirli invalida ogni sessione di accesso esistente, comprese quelle in mano a un intruso.
  • Reimposta le password di tutti gli account amministratore.
  • Riesamina l’elenco degli account amministratore per individuare quelli che non riconosci. Presta particolare attenzione ai nomi utente che iniziano con wpsvc_, developer_, dev_ o wp_update_: il codice della 10.8.7 saltava deliberatamente gli account con quei nomi quando sceglieva l’account con cui autenticarsi, il che suggerisce che ci si aspettasse la loro presenza.
  • Cerca qualsiasi altra cosa non familiare: account utente di qualsiasi ruolo, plugin che non hai installato e attività pianificate (voci di WP-Cron) che non riconosci.

Se il tuo hosting provider offre una scansione antimalware o una revisione di sicurezza, questo è un momento ragionevole per accettarla.

Cosa ho fatto e cosa non ho fatto

Per essere del tutto trasparente sul controllo dietro la mia email: ho letto solo file pubblici che il tuo sito serve già a ogni visitatore, in particolare il readme.txt pubblico del plugin ARVE e la tua home page. Non ho avuto accesso alla tua area di amministrazione WordPress, al database o ad alcuna parte privata del sito. Non ho inviato al tuo sito il valore che attiva la backdoor, né altro.

Tutto ciò che so sul contenuto dei rilasci con la backdoor deriva dallo scaricare gli archivi di rilascio ufficiali del plugin da WordPress.org e dal confrontarli tra loro. Non ho eseguito quel codice, non l’ho testato né sfruttato da nessuna parte.

Questa è un’osservazione basata sulla versione: il tuo sito dichiara una versione che è stata pubblicata con la backdoor al suo interno. Non è un’affermazione che il tuo sito sia stato violato, e non è un rapporto di incidente sul tuo sito.

Non ho un webmaster / sono bloccato

Se non sei tu a occuparti del sito, inoltra questa pagina a chi lo fa (il tuo sviluppatore, la tua agenzia o il tuo hosting provider). Riconosceranno subito i passaggi qui sopra, e il passo 1 è quello urgente.

Se gestisci il sito da solo e ti blocchi, sono felice di indicarti la direzione giusta senza alcun costo. Scrivimi usando i contatti qui sotto.

Contatti

Evan Harris, ricercatore di sicurezza

Mi metto in contatto su questioni come questa solo per aiutare gli operatori a mettere in sicurezza i loro siti. Se preferisci non essere più contattato, basta dirmelo e lo rispetterò.

Riferimenti

Avvisi ufficiali e tracciamento

Fornitore / plugin