La pipeline dei commenti di WordPress è diventata l’anello debole

Introduzione

WordPress ha corretto una falla soprannominata Comment2Shell nella versione 7.1.1, ma la storia importante non è l’etichetta. La lezione architetturale è questa: il contenuto dell’utente può sembrare innocuo quando viene salvato, per poi diventare pericoloso quando la piattaforma lo riscrive per visualizzarlo. In questo caso, il rischio è iniziato come stored XSS nella pipeline dei commenti e, se in seguito un amministratore autenticato avesse aperto la pagina, avrebbe potuto evolvere in una catena molto più grave.

Fatti rapidi

• CVE-2026-93485 è stata corretta in WordPress 7.1.1 e ha ricevuto un punteggio CVSS di 7.1.
• La debolezza risiedeva nel rendering dei commenti, non in un semplice filtro antispam o nel login dell’utente.
• Il problema di base era un percorso di stored XSS che poteva eseguire script nel browser di un visitatore quando la pagina veniva caricata.
• La compromissione lato server dipendeva dal fatto che un amministratore autenticato aprisse in seguito la pagina interessata.
• WordPress 7.1.1 includeva anche correzioni per altri problemi di sicurezza, incluso Click2Shell.

Corpo

La trappola tecnica era un problema di tempistica. WordPress elabora i commenti in un passaggio e poi li riformatta per la visualizzazione in un altro. I ricercatori di sicurezza hanno ricondotto il bug a questa seconda fase, in cui la riscrittura dell’HTML poteva gestire male casi limite negli attributi tra virgolette e nelle interruzioni di riga. Questo è importante perché un payload che sembra inerme al momento del salvataggio può diventare markup attivo al momento del rendering.

Dal punto di vista difensivo, si tratta di un classico schema di stored XSS con una conseguenza insolitamente grave. Qualsiasi visitatore che carichi la pagina può eseguire script controllato dall’attaccante nell’origine del sito, ma l’impatto maggiore arriva se un utente con privilegi apre il contenuto. Una sessione amministrativa può avere diritti per installare plugin o apportare altre modifiche considerate affidabili, ed è per questo che uno script lato browser in un contesto admin viene spesso trattato come un ponte verso la compromissione completa. La catena completa lato server resta condizionata, non automatica.

L’esposizione dipende anche dal comportamento del tema. I block theme e alcuni temi classici usano percorsi di rendering diversi, quindi correggere la versione del core è necessario ma non basta. La moderazione aiuta a ridurre l’esposizione, ma è un controllo di flusso di lavoro, non un confine di sicurezza. Il ricercatore ha anche descritto modi per aggirare la moderazione, anche se tale aggiramento va considerato qui come riportato e non verificato in modo indipendente.

WordPress 7.1.1 è stata presentata come una release di sicurezza e il consiglio pratico è semplice: applicare la patch rapidamente, poi controllare la presenza di plugin o file sospetti se un sito potrebbe essere stato visualizzato mentre era vulnerabile. Non c’erano segni di sfruttamento attivo nel materiale esaminato e il problema non figurava nel catalogo statunitense delle vulnerabilità attivamente sfruttate. Questo riduce il panico, ma non la priorità.

Conclusione

I sistemi di commenti vengono spesso trattati come funzionalità a basso rischio perché sembrano problemi di moderazione. Comment2Shell dimostra perché questa mentalità è pericolosa. Il vero confine di sicurezza non è dove il contenuto entra nel sito, ma come ogni fase successiva di trasformazione tratta quel contenuto. In WordPress, come in molte piattaforme, il livello di rendering può essere importante quanto il filtro di input.

TECHCROOK

Chiave di sicurezza hardware: Una piccola chiave USB/NFC può aggiungere un secondo fattore resistente al phishing per gli amministratori di WordPress e altri account sensibili. È una scelta pratica quando conta la sessione del browser, perché le sole password rubate non bastano per accedere. Conserva una chiave di riserva in un luogo sicuro e registra almeno due chiavi per il recupero.

Scheda Techcrook: Chiave di sicurezza hardware

WIKICROOK

• Stored XSS: Una falla in cui uno script controllato dall’attaccante viene memorizzato dall’applicazione ed eseguito in seguito quando un altro utente visualizza il contenuto.
• RCE: Esecuzione remota di codice, una condizione in cui un attaccante può far eseguire comandi o codice su un server.
• wpautop(): Una funzione di formattazione di WordPress che converte il testo semplice e le interruzioni di riga in paragrafi HTML.
• Block theme: Un modello di tema WordPress costruito attorno ai blocchi e al Site Editor, anziché solo ai classici template PHP.
• Moderazione dei commenti: Un flusso di revisione che trattiene i commenti prima della pubblicazione, ma che da solo non garantisce la sicurezza.