Gli attaccanti stanno sfruttando attivamente una vulnerabilità critica nel plugin Everest Forms Pro per WordPress, identificata come CVE-2026-3300 e con un punteggio CVSS di 9.8, il massimo livello di gravità. La falla permette di eseguire codice PHP arbitrario e di arrivare alla compromissione completa del sito.

Dove si nasconde il problema

La vulnerabilità risiede nella funzione process_filter() del Calculation Addon, il componente che gestisce i calcoli all'interno dei moduli. Quando un modulo usa la funzione di "Complex Calculation", i valori inseriti dall'utente vengono concatenati in una stringa di codice PHP e passati alla funzione eval() senza un'adeguata sanificazione. Il risultato è che un attaccante non autenticato può iniettare ed eseguire codice PHP a piacere.

La falla colpisce tutte le versioni del plugin fino alla 1.9.12 inclusa. Il plugin conta circa 4.000 installazioni attive: un numero contenuto, ma sufficiente a garantire agli aggressori un bacino di bersagli da colpire in massa.

Patch da marzo, ma gli attacchi continuano

L'aspetto più frustrante è che la correzione esiste dal 18 marzo 2026, con il rilascio della versione 1.9.13. Nonostante questo, gli attacchi sono stati osservati a partire dal 13 aprile e non si sono fermati: a oggi sono stati bloccati oltre 29.300 tentativi di exploit, con decine di attacchi registrati nelle ultime 24 ore.

Il payload più diffuso tenta di creare un account amministratore fittizio chiamato "diksimarina" (email diksimarina@gmail.com) sui siti compromessi, garantendo all'attaccante una porta d'accesso permanente.

Come proteggersi

  • Aggiorna immediatamente Everest Forms Pro alla versione 1.9.13 o successiva.
  • Controlla la lista degli account amministratore ed elimina quelli che non riconosci, in particolare l'utenza "diksimarina".
  • Cerca segni di compromissione: file PHP sospetti, modifiche recenti ai contenuti, plugin o temi installati senza autorizzazione.
  • Disattiva i moduli che usano la "Complex Calculation" se non puoi aggiornare subito.
  • Mantieni aggiornati tutti i plugin e rimuovi quelli non utilizzati: ogni componente in più è una potenziale superficie d'attacco.

Il caso ribadisce una lezione nota a chi gestisce siti WordPress: una patch disponibile serve a poco se non viene applicata. La finestra tra il rilascio della correzione e il suo effettivo deployment è proprio quella in cui gli attaccanti colpiscono.