Se avete ricevuto un’email da parte mia che vi indirizza a questa pagina, è perché il vostro sito sembra utilizzare una versione vulnerabile di Kirki – Freeform Page Builder, Website Builder & Customizer (il plugin WordPress kirki, di Themeum). Questa pagina spiega perché è importante e come correggere il problema.

Questo avviso riguarda CVE-2026-8206, una falla critica, attivamente sfruttata (CVSS 9.8), che consente a un aggressore di impossessarsi di qualsiasi account registrato sul vostro sito, inclusi gli account amministratore, senza effettuare l’accesso. Interessa le versioni dalla 6.0.0 alla 6.0.6 ed è corretta nella 6.0.7 (pubblicata il 18 maggio 2026). Se utilizzate una versione interessata, aggiornate Kirki alla 6.0.7 o successiva (è consigliata l’ultima release 6.1.x) il prima possibile. Poiché questa falla consegna a un aggressore il controllo degli account e viene sfruttata in rete, dovreste inoltre controllare eventuali segni di accesso non autorizzato (vedete Se utilizzavate una versione interessata più sotto).

Questa è una falla di un plugin, non del nucleo di WordPress. Un WordPress pienamente aggiornato non vi protegge se il plugin Kirki stesso utilizza una versione interessata.

Questo messaggio è legittimo?

Sì. Si tratta di un avviso in buona fede, secondo il principio della divulgazione responsabile, da parte di un ricercatore di sicurezza indipendente. Non vi chiedo denaro, password o accesso al vostro sito, e non ho tentato di introdurmi in esso, di caricare alcunché o di sfruttare alcunché.

Tutto ciò che ho fatto è stato esaminare file pubblicamente visibili che il vostro sito fornisce a ogni visitatore (allo stesso modo in cui la vostra homepage è pubblica) e annotare il numero di versione che il plugin Kirki pubblica nel suo file readme.txt pubblico. In particolare non ho toccato la funzione vulnerabile di reimpostazione della password, e nulla di questo controllo tocca i vostri dati, la vostra area di amministrazione o alcuna parte privata del vostro sito.

Se desiderate verificare chi sono, consultate i recapiti in fondo a questa pagina e la pagina Informazioni.

Perché è importante

Kirki è un plugin page builder e customizer molto diffuso (circa 500.000 installazioni attive). Il suo gestore di reimpostazione della password (una funzione chiamata handle_forgot_password) contiene un errore: quando una richiesta di reimpostazione fornisce un nome utente, il gestore accetta anche un indirizzo email fornito dall’aggressore per la stessa richiesta. Il link di reimpostazione della password viene quindi inviato a quell’indirizzo invece che al proprietario dell’account.

L’effetto pratico è che un aggressore remoto che semplicemente conosce il nome utente di un qualsiasi utente registrato del vostro sito, amministratori inclusi, può far sì che il link di reimpostazione della password di quell’utente venga recapitato nella casella di posta dell’aggressore stesso, senza effettuare l’accesso e senza alcuna interazione da parte del vero proprietario. Seguendo il link, l’aggressore può impostare una nuova password e assumere il pieno controllo dell’account. Per un account amministratore, ciò significa il pieno controllo del sito: creare nuovi utenti amministratori, installare un plugin o un tema (un modo comune per collocare una backdoor), modificare i contenuti o leggere i dati.

La falla è stata valutata 9,8 su 10 (gravità critica). Il dirottamento di account amministratore tramite questa falla è stato segnalato in rete, ed esiste uno strumento pubblico di sfruttamento di massa. Se la mia email ha citato questo problema, significa che la versione segnalata dal vostro sito rientra nell’intervallo interessato. Non ho verificato se il vostro sito in particolare sia sfruttabile o già compromesso, ma solo che segnala una versione interessata.

La buona notizia: l’aggiornamento alla versione corretta chiude la falla, e l’aggiornamento è semplice.

Come verificare la vostra versione

Non dovete credermi sulla parola riguardo alla versione che state utilizzando.

Dal manifesto pubblico (nessun accesso necessario): aprite yourdomain.com/wp-content/plugins/kirki/readme.txt in un browser. La riga Stable tag: vicino all’inizio è la versione segnalata dalla vostra installazione di Kirki, ed è lo stesso file pubblico che ho letto.

Dall’area di amministrazione di WordPress (se avete accesso):

  1. Accedete alla vostra bacheca di WordPress (di solito all’indirizzo yourdomain.com/wp-admin).
  2. Andate su Plugin poi Plugin installati.
  3. Cercate Kirki e annotate la versione indicata sotto il suo nome.

Applicate poi questa regola, tenendo presente che le versioni si confrontano numericamente, non alfabeticamente:

  • Dalla 6.0.0 alla 6.0.6: interessata, aggiornate subito.
  • 6.0.7 o successiva, incluse 6.0.10, 6.0.13, 6.0.14 e tutte le release 6.1.x: già corretta. Non lasciatevi ingannare dall’ordinamento testuale; la 6.0.10 è una release successiva (corretta) rispetto alla 6.0.7, perché 10 è maggiore di 7.
  • 3.0.x o 3.1.x: si tratta di un prodotto diverso con lo stesso slug kirki (il Kirki Customizer Framework di Aristath, che il page builder 6.x di Themeum ha in seguito sostituito). Il vecchio framework non è interessato da questo problema, e questo avviso non si applica ad esso.

Come aggiornare

Il percorso più sicuro è aggiornare tramite WordPress stesso, effettuando prima un backup:

  1. Eseguite il backup del vostro sito (file e database) prima di apportare modifiche. La maggior parte dei provider di hosting offre backup con un clic, oppure usate un plugin di backup per WordPress.
  2. Nell’amministrazione di WordPress, andate su Bacheca poi Aggiornamenti, oppure Plugin poi Plugin installati. Se un aggiornamento di Kirki è elencato, installatelo da qui.
  3. Se preferite la riga di comando, WP-CLI fa la stessa cosa: wp plugin update kirki.
  4. Se nessun aggiornamento compare, potete scaricare l’ultima versione direttamente dalla pagina del plugin nella directory WordPress.org, Kirki, e aggiornare tramite Plugin poi Aggiungi nuovo plugin poi Carica plugin.
  5. Dopo l’aggiornamento, confermate il nuovo numero di versione (6.0.7 o successiva; è consigliata l’ultima 6.1.x) seguendo i passaggi sopra, e verificate che il vostro sito si carichi normalmente.

Già che ci siete, vale la pena confermare che il nucleo di WordPress e i vostri altri plugin siano aggiornati, poiché lo stesso principio vale per tutti.

Se utilizzavate una versione interessata

Poiché questa falla viene attivamente sfruttata per impossessarsi degli account, un sito che utilizzava una versione interessata non dovrebbe presumere che il semplice aggiornamento sia sufficiente. L’aggiornamento rimuove la vulnerabilità, ma non annulla alcun accesso che un aggressore possa aver già ottenuto. Voi (o il vostro webmaster) dovreste verificarlo sul vostro sito:

  • Esaminate i vostri account amministratore. In Utenti poi Tutti gli utenti, filtrate per Amministratore e rimuovete qualsiasi account che non riconoscete. Gli aggressori aggiungono comunemente un nuovo utente amministratore per mantenere l’accesso.
  • Esaminate le reimpostazioni di password recenti. Una reimpostazione che voi o i vostri utenti non avete richiesto, o un account la cui password ha improvvisamente smesso di funzionare, è un campanello d’allarme per questa particolare falla. In caso di dubbio, reimpostate voi stessi le password degli account amministratore.
  • Esaminate i plugin e i temi installati o modificati di recente. Cercate qualsiasi cosa non abbiate installato voi stessi e plugin con nomi generici o non familiari: un plugin o un tema fraudolento è un modo comune per collocare una backdoor.
  • Esaminate le password applicative. Per ciascun utente (Utenti poi il Profilo dell’utente), controllate la sezione Application Passwords e revocate qualsiasi voce che non avete creato.
  • Fate attenzione ad altri segnali. Nuovi contenuti o pagine inattesi, modifiche all’email di amministrazione o alle impostazioni dell’URL del sito, oppure attività pianificate non familiari meritano un approfondimento.

Se trovate prove di accesso non autorizzato, trattate il sito come compromesso: rimuovete eventuali utenti, plugin o temi fraudolenti, cambiate le vostre credenziali (amministrazione di WordPress, database e pannello di hosting) e valutate il ripristino da un backup noto come integro effettuato prima dell’intrusione. Se la vostra organizzazione dispone di un team di sicurezza IT, coinvolgetelo.

Voglio essere chiaro: non ho controllato il vostro sito alla ricerca di alcuno di questi indicatori, e non so se il vostro sito sia stato interessato. Questo elenco è qui affinché possiate controllare voi stessi. Un sito nell’intervallo di versioni interessate potrebbe inoltre essere già protetto con altri mezzi (un web application firewall, o un backport a livello di hosting); questo avviso è un’osservazione basata sulla versione, non un’affermazione che il vostro sito fosse sfruttabile nel momento in cui ho effettuato il controllo.

Non ho un webmaster / sono bloccato

Se non siete la persona che gestisce il sito, inoltrate questa pagina a chi lo fa (il vostro sviluppatore web, la vostra agenzia o il vostro provider di hosting). Riconosceranno rapidamente i passaggi sopra.

Se gestite il sito da soli e vi bloccate, sarò lieto di aiutarvi a orientarvi nella direzione giusta senza alcun costo. Contattatemi usando i recapiti sottostanti.

Contatti

Evan Harris, Ricercatore di sicurezza

Contatto gli operatori riguardo a problemi come questo unicamente per aiutarli a mettere in sicurezza i loro siti. Se preferite non essere contattati di nuovo, ditemelo e rispetterò la vostra richiesta.

Riferimenti

Avvisi ufficiali e tracciamento

Fornitore / plugin