CVE-2026-1357 -- WPvivid RCE

Esecuzione remota di codice (RCE) non autenticata in WPvivid Backup & Migration

800%2C000-brightgreen?style=for-the-badge" alt="Installs">

Grave vulnerabilità che impatta oltre 800.000–900.000+ siti WordPress
Upload PHP arbitrario non autenticato → compromissione totale del server

---

🌩️ Panoramica

CVE-2026-1357 (CVSS 9.8 – Critica) colpisce il plugin Migration, Backup, Staging – WPvivid Backup & Migration (≤ 0.9.123).

• Plugin → WPvivid Backup & Migration
• Versioni interessate → ≤ 0.9.123
• Versione corretta → 0.9.124 (rilasciata circa il 28 gennaio 2026)
• Vettore di attacco → Rete
• Complessità → Bassa
• Privilegi richiesti → Nessuno
• Interazione utente → Nessuna
• Impatto → Esecuzione remota di codice (elevato impatto su Riservatezza, Integrità, Disponibilità)

La vulnerabilità risiede nella funzionalità opzionale del plugin "ricevi backup da un altro sito" (via wpvivid_action=send_to_site). Quando è abilitata, un attaccante non autenticato può caricare file arbitrari — nella forma più pericolosa webshell PHP — in posizioni accessibili via web come /wp-content/uploads/.

🛠️ Causa principale (vulnerabilità concatenate)

→ L'attaccante crea un payload cifrato con chiave nulla → bypassa l'"auth" → scrive un file .php in qualsiasi posizione scrivibile.

🔥 Impatto

• Esecuzione remota di codice non autenticata come utente del server web (tipicamente www-data)
• Compromissione totale del sito: backdoor, esfiltrazione di dati, ransomware, defacement
• PoC pubblici comparsi subito dopo la divulgazione (febbraio 2026)
• Rischio reale elevato per la facilità di sfruttamento e l'ampia base di installazioni

Nota: lo sfruttamento richiede che la funzionalità "ricevi backup" sia abilitata (non predefinita) e un token API valido/non scaduto (durata massima di 24 ore).

📅 Cronologia

🛡️ Mitigazione e Hardening

Azione immediata
Esegui l'aggiornamento a WPvivid Backup & Migration ≥ 0.9.124 (correzioni: corretta gestione dei fallimenti di decrittazione, sanitizzazione dei nomi file, restrizioni sui tipi di file).

Soluzioni temporanee (se l'aggiornamento è ritardato):

• Disabilita "Ricevi backup da un altro sito" nelle impostazioni del plugin
• Disattiva / elimina il plugin se non necessario
• Blocca le POST a /wp-admin/admin-ajax.php con action=wpvivid_send_to_site (via WAF / .htaccess)

Controlli post-incidente

• Cerca in /wp-content/uploads/ (e nelle altre directory scrivibili) file .php sospetti
• Esamina i log di accesso per POST anomale a admin-ajax.php
• Scansiona alla ricerca di webshell, ruota le credenziali, ripristina da un backup pulito in caso di compromissione

Buone pratiche generali

• Mantieni aggiornati core, temi e plugin di WordPress
• Usa plugin di sicurezza (Wordfence, Sucuri, ecc.)
• Limita i permessi sui file; disabilita XML-RPC se non utilizzato

🔗 Riferimenti

• Voce ufficiale NVD

• Avviso Wordfence (divulgazione dettagliata)

• Pagina del plugin

• Nuclei Template: ufficiale in projectdiscovery/nuclei-templates (aggiunto in v10.4.0)

---

_{Patcha presto • Patcha spesso • Resta al sicuro}