Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il plugin WordPress GiveWP, utilizzato su oltre 100.000 siti, presentava una vulnerabilità critica (CVE-2026-82222) che permetteva l'esecuzione di comandi sistemici arbitrari. La falla, scoperta da Udin Chan, è stata valutata 10 su 10 da Patchstack. La vulnerabilità è stata corretta nella versione 4.16.7.2 del plugin.
Il popolare plugin GiveWP per la raccolta di donazioni su WordPress permetteva a un attaccante di avviare un attacco anonimo senza un account e, in definitiva, di eseguire un comando sistemico arbitrario sul server. La vulnerabilità critica CVE-2026-82222 colpisce le versioni di GiveWP fino alla 4.16.7.1. Il plugin è installato su più di 100.000 siti, e Patchstack ha valutato la gravità del problema al massimo livello, 10 su 10, nella scala CVSS.
Il ricercatore Udin Chan ha identificato non un singolo errore, ma una catena di diverse vulnerabilità, ognuna delle quali, da sola, non forniva un controllo completo sul server. Insieme, queste vulnerabilità trasformavano un normale processo di gestione delle donazioni in un percorso per l’esecuzione remota di codice.
Alla base dell’attacco vi è una de-serializzazione non sicura di PHP.
GiveWP poteva accettare un oggetto serializzato appositamente preparato, salvare i dati ad esso associati e, in seguito, riconvertire la stringa salvata in un oggetto PHP. Nelle librerie fornite con il plugin è stata trovata una catena di bug che permetteva di portare tale sostituzione all’esecuzione di una funzione sistemica e all’avvio di un comando arbitrario sul server.
Per una parte della catena era necessaria una sessione autenticata, tuttavia, l’attaccante non doveva registrarsi preventivamente sul sito. GiveWP conteneva un proprio meccanismo di registrazione che poteva creare un utente anche quando la registrazione standard di WordPress era disabilitata. Nelle versioni più recenti vulnerabili, gli sviluppatori hanno parzialmente limitato l’accessibilità della catena, quindi le condizioni specifiche di sfruttamento dipendevano dalla configurazione del sito e dalle forme di donazione utilizzate.
Dopo la creazione dell’utente, l’attaccante poteva far sì che l’oggetto preparato venisse salvato nei dati relativi al donatore e alla sessione di donazione. Durante la successiva lettura, GiveWP de-serializzava nuovamente il contenuto, e la catena integrata di bug permetteva di raggiungere l’esecuzione del comando.
Di conseguenza, l’attaccante otteneva potenzialmente la possibilità di installare un backdoor e prendere completamente il controllo del sito.
Patchstack ha informato gli sviluppatori della vulnerabilità già il 28 luglio. Prima della pubblicazione della correzione definitiva, i ricercatori hanno respinto diverse varianti di patch proposte, poiché la catena rimaneva operativa. La correzione completa è apparsa il 27 agosto in GiveWP 4.16.7.2, e i dettagli tecnici sono stati resi pubblici da Patchstack il 28 agosto.
Ai proprietari di siti con GiveWP viene consigliato di aggiornare il plugin almeno alla versione 4.16.7.2. Patchstack avverte che le vulnerabilità di questo tipo sono adatte per attacchi automatizzati di massa, quindi rimandare l’installazione della correzione è rischioso.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/