Vulnerabilità Elementor Pro: come proteggere il tuo sito WordPress da attacchi RCE

Cosa rischia il tuo sito WordPress

Un attaccante non autenticato può caricare un file PHP sul tuo server e assumere il controllo remoto del sito se usi Elementor Pro versione 4.2.1 o precedente: non serve una password, non serve un account, basta che esista almeno un form pubblico con un campo "Carica file".

Il 19 agosto 2026 Elementor ha rilasciato la versione 4.2.2 per correggere la vulnerabilità CVE-2026-32475; nello stesso giorno, i primi attacchi automatizzati hanno iniziato a scansionare la rete.

Wordfence ha bloccato quasi 200.000 tentativi di exploit nei soli cinque giorni successivi.

Per mettere questi numeri in prospettiva, nel 2025 sono state scoperte 11.334 nuove vulnerabilità nell'ecosistema WordPress, con un aumento del 42% rispetto all'anno precedente.

Il 91% di queste falle deriva da plugin di terze parti, non dal core di WordPress; per le PMI italiane che affidano la propria presenza digitale a un sito WordPress, significa che la sicurezza non è più un optional tecnico, ma un asset strategico.

Il lasso di tempo tra la pubblicazione di una vulnerabilità e il primo attacco di massa è di sole cinque ore: aspettare il weekend per aggiornare un plugin equivale, statisticamente, a lasciare la porta aperta per un intero pomeriggio lavorativo.

Capire come funziona questa falla specifica ti aiuta a valutare se il tuo sito è esposto e perché l'aggiornamento immediato è indispensabile.

Come funziona l'attacco CVE-2026-32475

La vulnerabilità sfrutta un errore di validazione nel campo "File Upload" dei form Elementor Pro.

Quando un utente carica più file contemporaneamente, il plugin esegue il controllo dell'estensione e lo spostamento del file in due cicli separati: se il primo elemento dell'array è un file vuoto, il plugin interrompe la validazione per gli elementi successivi, permettendo il caricamento di un file PHP.

Questa configurazione, ovvero un form con campo allegato, è estremamente comune: moduli di candidatura lavorativa, richieste di preventivo con allegato documento, ticket di supporto con screenshot. 

Una volta caricato, il file PHP è accessibile direttamente via URL e consente all'attaccante di eseguire comandi arbitrari sul server, quindi la compromissione può estendersi al database, alle email, ai file dei clienti e a tutti i siti ospitati sullo stesso hosting.

Perché i plugin premium non ti rendono al sicuro

Pagare per un plugin non garantisce automaticamente un codice più sicuro.

I dati raccolti da Patchstack nel 2026 mostrano che i componenti WordPress premium presentano tre volte più vulnerabilità conosciute e sfruttate (KEV) rispetto a quelli gratuiti; la ragione è semplice: il codice chiuso riceve meno revisioni indipendenti da parte della comunità di ricercatori di sicurezza.

Elementor Pro, con oltre 6 milioni di installazioni attive, è un obiettivo naturale per gli attaccanti.

La sua diffusione fa si che un singolo exploit può compromettere centinaia di migliaia di siti in poche ore e, per gli imprenditori del tessuto produttivo italiano, tutto ciò si traduce in un rischio sistemico: anche se il tuo sito non è un obiettivo specifico, può diventare vittima di una campagna di scansione automatizzata.

Nello Studio JooMa riteniamo che la scelta di un plugin non debba basarsi solo sulle funzionalità, ma anche sulla storia di manutenzione dello sviluppatore, sulla frequenza degli aggiornamenti di sicurezza e sulla presenza di un programma di bug bounty. Questi elementi, spesso trascurati nella fase di progettazione, determinano la resilienza del sito nel medio periodo.

Come verificare se il tuo sito è già compromesso

Anche se hai già aggiornato Elementor Pro alla versione 4.2.2, il danno potrebbe essere stato fatto prima del patching.

Il payload caricato dagli attaccanti risiede nella directory /wp-content/uploads/elementor/forms/: piché questa cartella viene usata normalmente per conservare gli allegati dei form, la presenza di un file PHP al suo interno è un indicatore inequivocabile di compromissione.

• ✓ Verifica la versione di Elementor Pro: accedi alla bacheca WordPress, vai su Plugin > Plugin installati e controlla che Elementor Pro riporti una versione uguale o superiore alla 4.2.2.
• ✓ Ispeziona la directory uploads: tramite FTP, SSH o il file manager del tuo hosting, naviga in /wp-content/uploads/elementor/forms/: cerca file con estensione .php, se ne trovi, il sito è compromesso.
• ✓ Controlla i log del server: cerca richieste POST all'endpoint admin-ajax.php con azione elementor_pro_forms_send_form e parametri sospetti nell'intervallo 19-25 agosto 2026.
• ✓ Scansiona con un tool di sicurezza: utilizza plugin come Wordfence, Sucuri Scanner o Patchstack per eseguire una scansione completa del filesystem e del database alla ricerca di backdoor o file non autorizzati.

Se trovi segni di compromissione, la procedura corretta prevede il restore da un backup pulito precedente al 19 agosto 2026, il cambio di tutte le password (WordPress, database, hosting, FTP, email) e l'analisi forense per determinare l'entità del breach.

Secondo le normative, se il sito tratta dati personali, potrebbe essere necessario effettuare una notifica al Garante Privacy entro 72 ore.

Le 3 azioni immediate per proteggere il sito

La velocità di risposta è l'unico fattore che separa un incidente gestito da una crisi aziendale.

Ecco il percorso operativo da seguire entro le prossime ore, organizzato in tre step sequenziali.

Dalla nostra esperienza sul campo con le PMI italiane, il 90% degli attacchi è prevenibile attraverso una corretta igiene di sicurezza.

Il problema non è la complessità delle contromisure, ma la loro applicazione costante e sistematica nel tempo.

Quando la gestione fai-da-te non basta più

Gestire la sicurezza di un sito WordPress in proprio richiede competenze che vanno oltre l'installazione di un plugin, ovvero richiede monitoraggio continuo delle CVE, capacità di lettura dei log del server, esperienza nel ripristino da backup, conoscenza delle normative GDPR e del Cyber Resilience Act UE. Per una PMI italiana, queste competenze rappresentano un costo operativo spesso sottostimato.

Con l'entrata in vigore del Cyber Resilience Act, i fornitori di componenti software commerciali destinati al mercato europeo dovranno istituire processi di vulnerability disclosure e notificare le falle attivamente sfruttate.

Tale cambiamento regolamentare renderà ancora più evidente il divario tra chi gestisce la sicurezza in modo strutturato e chi la affronta a caso per caso.

Conclusione: 3 azioni che puoi mettere in pratica oggi

1. Verifica subito la versione di Elementor Pro e aggiorna alla 4.2.2 o successiva. Se non puoi farlo immediatamente, disattiva temporaneamente i form pubblici che contengono il campo File Upload.
2. Ispeziona la directory /wp-content/uploads/elementor/forms/ cercando file PHP non autorizzati. Se ne trovi, considera il sito compromesso e avvia una procedura di incident response strutturata.
3. Pianifica una revisione annuale della sicurezza del tuo sito che includa audit dei plugin, test dei backup, verifica dei permessi utente e aggiornamento delle politiche di accesso. La sicurezza è un processo, non un evento singolo.