Se hai ricevuto una mia email che rimanda a questa pagina, è perché il tuo sito sembra utilizzare una versione di Advanced Responsive Video Embedder (il plugin WordPress che di solito compare come ARVE, cartella advanced-responsive-video-embedder) che è stata pubblicata con una backdoor al suo interno. Questa pagina spiega cosa è successo, come verificare quale versione hai e cosa fare.

Questo avviso è diverso da un normale invito ad aggiornare, in due modi che contano, quindi leggi i due paragrafi seguenti prima di fare qualsiasi altra cosa.

Aggiornare non risolve il problema. Non esiste alcuna versione corretta. WordPress.org ha chiuso il plugin il 28 luglio 2026, il che significa che il servizio di aggiornamento non risponde più per esso: la bacheca di WordPress dirà che non è disponibile alcun aggiornamento mentre il codice con la backdoor continua a essere caricato a ogni richiesta al tuo sito. Il sito sembra perfettamente in salute e non lo è.

Il passo che serve è disattivare o eliminare il plugin. Questo impedisce al codice di essere caricato. Tutto il resto di questa pagina discende da qui.

Il problema è tracciato come CVE-2026-18072.

Questo messaggio è legittimo?

Sì. È un avviso di divulgazione responsabile, in buona fede, da parte di un ricercatore di sicurezza indipendente. Non ti chiedo denaro, password o accesso al sito, e non ho tentato di entrarci, di inviargli qualcosa né di sfruttare alcunché.

Mi sono limitato a guardare file pubblici che il tuo sito serve a qualsiasi visitatore (allo stesso modo in cui la tua home page è pubblica) e ad annotare il numero di versione che il plugin ARVE pubblica. Tutto ciò che so sulla backdoor in sé deriva dal confronto tra gli archivi di rilascio ufficiali del plugin su WordPress.org, non dal tuo sito (maggiori dettagli in Cosa ho fatto e cosa non ho fatto).

Se vuoi verificare chi sono, trovi i contatti in fondo a questa pagina e nella pagina Chi sono.

Cosa è successo

ARVE è un plugin di lunga data per l’inserimento di video, presente da anni nella directory ufficiale e mantenuto alla luce del sole. Ciò che è andato storto non è stato un errore di programmazione nel plugin: è stata una compromissione del canale di rilascio. Qualcuno è riuscito a pubblicare versioni sotto il nome del plugin.

Due rilasci di questo tipo sono usciti il 28 luglio 2026:

  • 10.8.7, pubblicata verso le 13:00 UTC.
  • 10.8.8, pubblicata circa tre ore dopo. La 10.8.8 non è una correzione. Contiene la stessa backdoor, riscritta in modo da trovarsi all’interno dei file legittimi del plugin anziché in un file separato e riconoscibile. Il suo changelog non menziona affatto la 10.8.8.

Quel secondo rilascio è il motivo per cui questo avviso esiste in questa forma. La reazione naturale a «la 10.8.7 è compromessa» è passare alla versione successiva, e qui la versione successiva è lo stesso problema con un vestito migliore.

  • La 10.8.6 è l’ultima versione pulita, e l’unica versione pulita.
  • La 10.8.9 non esiste. Non c’è nulla di più recente a cui passare.

Cosa fa la backdoor

Descritto al livello di dettaglio che ti è utile come proprietario del sito, e non oltre:

  • Installa un gestore di richieste incondizionato, cioè codice che esamina ogni richiesta al tuo sito, comprese quelle di visitatori non autenticati.
  • Quando una richiesta contiene un valore particolare, il gestore autentica quel visitatore come amministratore del tuo sito WordPress. Il valore in questione deriva da informazioni pubbliche sul sito, quindi non è un segreto specifico del sito che un aggressore dovrebbe prima rubare.
  • Invia inoltre l’indirizzo del tuo sito e la versione del plugin a un server di terze parti (l’host fontswp[.]com, scritto qui con le parentesi quadre perché nessuno lo visiti per sbaglio).

Deliberatamente non pubblico il valore esatto né il codice che lo produce. Gli archivi interessati sono ancora scaricabili, e una ricetta aiuterebbe le persone sbagliate più in fretta di quanto aiuterebbe te.

Sono interessato?

Tutto si riduce a una domanda: quale versione di ARVE è installata? Non devi credermi sulla parola: ci sono due modi per controllare.

Dall’area di amministrazione di WordPress (fonte autorevole):

  1. Accedi alla bacheca di WordPress (di solito su tuodominio.it/wp-admin).
  2. Vai su Plugin e poi Plugin installati.
  3. Individua ARVE oppure Advanced Responsive Video Embedder, la voce la cui cartella è advanced-responsive-video-embedder, e leggi la versione indicata sotto il nome.

Dal manifesto pubblico (senza login): apri nel browser tuodominio.it/wp-content/plugins/advanced-responsive-video-embedder/readme.txt. La riga Stable tag: vicino all’inizio è la versione che la tua installazione dichiara, ed è lo stesso file pubblico che ho letto io.

Applica poi questa regola:

  • 10.8.7 o 10.8.8: interessata. Segui i passaggi qui sotto.
  • 10.8.6 o precedente: pulita, per quanto riguarda la backdoor. Nulla di quanto scritto qui ti riguarda, ma tieni presente la nota sulla chiusura del plugin.
  • Non esiste il caso «10.8.9 o successiva». Quelle versioni non esistono.

Puoi verificare la situazione in autonomia, senza fare affidamento su ciò che dico io: la pagina del plugin nella directory ufficiale, Advanced Responsive Video Embedder, mostra che è stato chiuso.

Cosa fare

1. Disattiva o elimina il plugin. In Plugin e poi Plugin installati, disattiva ARVE. Se puoi, meglio eliminarlo del tutto. È questo il passaggio che ferma l’esecuzione del codice, e richiede pochi secondi. Fallo prima di tutto il resto.

Da riga di comando, WP-CLI fa la stessa cosa:

wp plugin deactivate advanced-responsive-video-embedder
wp plugin delete advanced-responsive-video-embedder

2. Non provare a uscirne aggiornando. L’ho detto all’inizio e vale la pena ripeterlo, perché è l’errore a cui questa situazione invita. Non esiste alcun rilascio che risolva il problema, il plugin è stato chiuso quindi nessun aggiornamento verrà proposto, e una bacheca che riporta «nessun aggiornamento disponibile» non è la prova che vada tutto bene.

3. Se ti servono davvero i video incorporati, torna alla 10.8.6. Quel rilascio è pulito ed è ancora scaricabile:

https://downloads.wordpress.org/plugin/advanced-responsive-video-embedder.10.8.6.zip
sha256  4a3407669f2a28cd46c9b39e12ab939bfa5bfcb6231a2aaa4aabac28a8969321

Installalo da Plugin, poi Aggiungi nuovo plugin, poi Carica plugin. Questo è un passaggio a una versione precedente, il contrario del consiglio abituale, quindi vale la pena chiarire che è voluto: in questo caso specifico il rilascio più vecchio è quello sicuro. Se ne hai la possibilità, verifica la somma di controllo sha256 del file scaricato prima di installarlo. Tieni presente che la 10.8.6 non riceverà ulteriori aggiornamenti finché il plugin resterà chiuso, quindi consideralo un modo per tenere in funzione le tue pagine mentre cerchi un sostituto, non una soluzione permanente.

4. Considera il sito potenzialmente compromesso. Poiché il codice concede l’accesso di amministratore a chiunque lo chieda nel modo giusto, e poiché è rimasto attivo sul tuo sito per tutto il tempo in cui la versione interessata è stata installata, l’ipotesi prudente è che qualcuno possa averlo usato. Non ti sto dicendo che il tuo sito sia stato violato: non ho alcuna visibilità su questo e non ho guardato. È una precauzione, ed è la risposta ordinaria a una backdoor che è rimasta in funzione in pubblico.

Se vuoi un’indagine come si deve, fai un backup completo e conserva i log di accesso del tuo server web prima di modificare qualsiasi cosa, perché disattivare il plugin e sostituire le credenziali sovrascriverà parte di ciò che un investigatore vorrebbe vedere.

Poi:

  • Rigenera le chiavi segrete e i «salt» in wp-config.php. I nuovi valori sono a un clic dal generatore ufficiale. Sostituirli invalida ogni sessione di accesso esistente, comprese quelle in mano a un intruso.
  • Reimposta le password di tutti gli account amministratore.
  • Riesamina l’elenco degli account amministratore per individuare quelli che non riconosci. Presta particolare attenzione ai nomi utente che iniziano con wpsvc_, developer_, dev_ o wp_update_: il codice della 10.8.7 saltava deliberatamente gli account con quei nomi quando sceglieva l’account con cui autenticarsi, il che suggerisce che ci si aspettasse la loro presenza.
  • Cerca qualsiasi altra cosa non familiare: account utente di qualsiasi ruolo, plugin che non hai installato e attività pianificate (voci di WP-Cron) che non riconosci.

Se il tuo hosting provider offre una scansione antimalware o una revisione di sicurezza, questo è un momento ragionevole per accettarla.

Cosa ho fatto e cosa non ho fatto

Per essere del tutto trasparente sul controllo dietro la mia email: ho letto solo file pubblici che il tuo sito serve già a ogni visitatore, in particolare il readme.txt pubblico del plugin ARVE e la tua home page. Non ho avuto accesso alla tua area di amministrazione WordPress, al database o ad alcuna parte privata del sito. Non ho inviato al tuo sito il valore che attiva la backdoor, né altro.

Tutto ciò che so sul contenuto dei rilasci con la backdoor deriva dallo scaricare gli archivi di rilascio ufficiali del plugin da WordPress.org e dal confrontarli tra loro. Non ho eseguito quel codice, non l’ho testato né sfruttato da nessuna parte.

Questa è un’osservazione basata sulla versione: il tuo sito dichiara una versione che è stata pubblicata con la backdoor al suo interno. Non è un’affermazione che il tuo sito sia stato violato, e non è un rapporto di incidente sul tuo sito.

Non ho un webmaster / sono bloccato

Se non sei tu a occuparti del sito, inoltra questa pagina a chi lo fa (il tuo sviluppatore, la tua agenzia o il tuo hosting provider). Riconosceranno subito i passaggi qui sopra, e il passo 1 è quello urgente.

Se gestisci il sito da solo e ti blocchi, sono felice di indicarti la direzione giusta senza alcun costo. Scrivimi usando i contatti qui sotto.

Contatti

Evan Harris, ricercatore di sicurezza

Mi metto in contatto su questioni come questa solo per aiutare gli operatori a mettere in sicurezza i loro siti. Se preferisci non essere più contattato, basta dirmelo e lo rispetterò.

Riferimenti

Avvisi ufficiali e tracciamento

Fornitore / plugin