Una vulnerabilità critica nel plugin Kirki per WordPress è già sotto attacco attivo e mette a rischio oltre 500.000 siti. Tracciata come CVE-2026-8206 e con un punteggio di gravità CVSS pari a 9.8 su 10, la falla consente a un attaccante non autenticato di prendere il controllo di qualsiasi account registrato, compresi quelli con privilegi di amministratore.

Cosa permette di fare

Kirki è un framework di personalizzazione molto diffuso, usato da temi e page builder per gestire le opzioni di configurazione. Il problema nasce da un endpoint REST API esposto per il reset delle password, gestito dalla funzione handle_forgot_password().

Il meccanismo dell'attacco è tanto semplice quanto pericoloso: con una sola richiesta HTTP, indicando un nome utente noto e un indirizzo email controllato dall'aggressore, è possibile dirottare la procedura di recupero password e impossessarsi dell'account. Non servono autenticazione né interazione da parte della vittima. Ottenuto l'accesso come amministratore, l'attaccante ha di fatto il pieno controllo del sito: può caricare codice malevolo, installare backdoor, rubare dati degli utenti o reindirizzare i visitatori verso pagine fraudolente.

Versioni colpite e attacchi in corso

La vulnerabilità è stata introdotta nella versione 6.0.0 e interessa tutte le release fino alla 6.0.6, utilizzate da quasi il 40% degli utenti del plugin. La società di sicurezza Defiant, che sviluppa il firewall Wordfence, ha rilevato lo sfruttamento attivo della falla bloccando oltre 222 tentativi di attacco contro i propri clienti nell'arco di 24 ore. Non si tratta quindi di un rischio teorico, ma di una campagna già operativa.

Cosa fare subito

La patch è disponibile nella versione 6.0.7, rilasciata a pochi giorni dalla segnalazione. Le azioni da compiere senza rimandare sono:

  • Aggiornare immediatamente Kirki alla versione 6.0.7 o successiva dal pannello di amministrazione WordPress.
  • Se l'aggiornamento non è possibile nell'immediato, disattivare il plugin finché non si potrà installare la correzione.
  • Verificare la lista degli utenti amministratori del sito e rimuovere eventuali account sospetti creati di recente.
  • Controllare i log di accesso e, in caso di compromissione sospetta, reimpostare tutte le password e ruotare le chiavi e i token di sicurezza.

Questo episodio ricorda quanto i plugin di terze parti siano spesso l'anello debole di WordPress: mantenere aggiornati core, temi ed estensioni, e disinstallare quelli non più utilizzati, resta la difesa più efficace.