Se il tuo sito gira su WordPress con Elementor Pro, questa settimana c'è una cosa da controllare prima di ogni altra: la versione del plugin.
Non è un allarme generico. È una campagna di attacco in corso, con numeri misurati. Nelle ultime settimane sono stati registrati oltre 440.000 tentativi di exploit complessivi contro due plugin WordPress molto diffusi: Elementor Pro e Super Forms.
Non parliamo di scansioni innocue. Gli attacchi riusciti caricano un file PHP sul server e da lì eseguono comandi, creano account amministratore e prendono il controllo del sito.
La parte che mi preoccupa più della falla in sé è un'altra: moltissimi siti italiani costruiti da agenzie e freelance montano Elementor Pro con il widget Form attivo, e chi possiede il sito spesso non sa nemmeno che quel widget esista. Vediamo cosa comporta la vulnerabilità Elementor Pro, come capire in cinque minuti se sei esposto e come accorgerti se ti hanno già preso.
Cosa è successo, in breve
Due falle distinte, stessa dinamica: caricamento arbitrario di file. Un attaccante senza credenziali riesce a far accettare al sito un file PHP eseguibile, che diventa una porta di servizio permanente sul server.
- Elementor Pro — CVE-2026-32475, gravità critica (CVSS tra 9.0 e 9.8). Corretta nella versione 4.2.2.
- Super Forms – Drag & Drop Form Builder — CVE-2026-14894, gravità critica (CVSS 9.8), mancata validazione del tipo di file. Corretta nella versione 6.3.314.
I sistemi di protezione hanno bloccato oltre 250.000 tentativi diretti contro Super Forms e più di 190.000 contro la vulnerabilità Elementor Pro.
L'attività malevola è cominciata il 14 luglio 2026 e ha toccato un picco di oltre 40.000 richieste in un solo giorno il 18 agosto. Lo sfruttamento specifico di Elementor Pro è partito il 19 agosto. Non è finita: la campagna è tuttora attiva.
Come funziona la vulnerabilità Elementor Pro, senza gergo
Le tre condizioni che ti rendono un bersaglio
La vulnerabilità Elementor Pro non colpisce chiunque abbia il plugin installato. Servono tre condizioni insieme:
- una pagina pubblicata, non in bozza, che contenga il widget Form;
- in quel form, un campo di caricamento file (File Upload);
- una versione di Elementor Pro precedente alla 4.2.2.
Se ci sono tutte e tre, l'attaccante compila il form come farebbe un utente qualsiasi. Ma al posto del curriculum o della foto invia un file PHP.
Il file finisce in /wp-content/uploads/elementor/forms/ con un nome generato a caso e l'estensione .php scelta da chi attacca. A quel punto gli basta richiamare quell'indirizzo dal browser per eseguire comandi sul tuo server.
Il caso Super Forms
Meccanica diversa, risultato identico. Qui il payload PHP viene codificato in Base64 e inviato all'endpoint super_submit_form.
Il trucco sta nel modo in cui viene compilato il campo di caricamento: l'attaccante lo invia come array, con il primo elemento vuoto e il secondo che contiene il file PHP vero e proprio. È quella struttura anomala a mandare in confusione il controllo di validazione e a farlo passare.
Verifica in cinque minuti se sei esposto
Non serve essere sviluppatori. Entra in bacheca e controlla questi punti nell'ordine.
- Versione dei plugin. Plugin > Plugin installati. Elementor Pro deve essere alla 4.2.2 o superiore, Super Forms alla 6.3.314 o superiore.
- Widget Form pubblicati. Cerca tra le pagine online quelle con un modulo di contatto o candidatura fatto con Elementor. Se c'è un campo per allegare file, rientri nel perimetro della vulnerabilità Elementor Pro.
- Utenti amministratori. Utenti > Tutti gli utenti, filtra per Amministratore. Se c'è anche un solo account che non hai creato tu, fermati e passa alla sezione sulla compromissione.
- La cartella degli upload. Via FTP o file manager dell'hosting apri
/wp-content/uploads/elementor/forms/. Lì dentro non deve esserci nessun file con estensione.php. Mai. Se lo trovi, hai una web shell.
Aggiornare non basta se ti hanno già preso
Questo è il punto che nella maggior parte degli articoli sulla vulnerabilità Elementor Pro manca, ed è quello che separa un sito salvo da un sito che continua a essere bucato per mesi.
La patch chiude la porta. Non caccia chi è già entrato.
Se il tuo sito è rimasto online con una versione vulnerabile mentre la campagna era attiva — quindi in qualunque momento tra metà luglio e oggi — l'aggiornamento impedisce nuovi ingressi con quella tecnica. Ma lascia intatto tutto ciò che è stato piazzato prima: file PHP nascosti, account amministratore fantasma, attività pianificate, plugin che non hai mai installato.
Ho visto siti aggiornati con diligenza continuare a produrre pagine di spam per settimane, perché nessuno era andato a guardare cosa era rimasto dentro. L'aggiornamento è il primo passo, non l'ultimo.
Cosa fare adesso, nell'ordine giusto
L'ordine conta più delle singole azioni. Aggiornare di fretta senza backup è un ottimo modo per trasformare un problema in due.
- Prima il backup completo, file e database. Se durante la pulizia rompi qualcosa, quella copia è l'unica via d'uscita. Conservala offline, non sullo stesso server.
- Poi l'aggiornamento: Elementor Pro alla 4.2.2, Super Forms alla 6.3.314. Dopo, ricontrolla che la versione mostrata sia davvero cambiata. Permessi sbagliati o procedure di deploy possono far fallire un update in silenzio.
- Poi l'ispezione: cartella upload, elenco amministratori, plugin installati, file modificati di recente senza motivo.
- Poi le credenziali: password di tutti gli amministratori, utente del database, chiavi di sicurezza in
wp-config.php, accessi FTP e pannello hosting. Se hanno letto il database, hanno letto anche quelli. - Se trovi tracce di intrusione, metti il sito in manutenzione e non limitarti a cancellare il file sospetto. Una web shell arriva quasi sempre accompagnata.
Perché una vulnerabilità Elementor Pro continua a succedere
Ogni volta che scoppia un caso così la conversazione si ferma su "aggiorna i plugin". È un consiglio giusto e insufficiente.
Il problema strutturale è un altro: un sito WordPress medio monta venti o trenta plugin, ognuno scritto da un team diverso, ognuno con la propria idea di cosa sia un controllo di sicurezza.
La vulnerabilità Elementor Pro di cui parliamo non nasce da una configurazione sbagliata o da un tema piratato. Nasce da un plugin ufficiale, a pagamento, installato su milioni di siti, che accettava un file senza verificarlo davvero.
Più superficie esposta significa più probabilità che qualcuno la buchi. Non è colpa tua se un plugin ha una falla, ma è una tua scelta quanta superficie tenere accesa.
Quando costruisco un sito preferisco un'architettura senza plugin di terze parti nel percorso critico: meno cose che possono rompersi, e nessun form pubblico che scrive PHP dentro la cartella degli upload.
Se il tuo sito è già su WordPress non ti sto dicendo di rifarlo domani. Ti sto dicendo di sapere quali plugin hai, chi li mantiene e quanto in fretta ti accorgi quando uno di loro diventa un problema.
Se sospetti di essere già stato compromesso
Un file .php nella cartella dei form, un amministratore che non riconosci, pagine che compaiono su Google e che non hai mai scritto: sono segnali che la patch è arrivata tardi. In quel caso il sito va analizzato, non solo aggiornato.
Se il sito ha smesso di comportarsi come dovrebbe, anche la visibilità su Google ne risente: lo spam iniettato è uno dei motivi più frequenti di crollo improvviso.
Se vuoi che ci guardi io, scrivimi. Rispondo di persona, non ti passa un ticket. Puoi anche scrivermi su WhatsApp: per una cosa urgente è il canale più veloce, e con un sito online e bucato il tempo conta.
Leggi anche
- WordPress AI Assistant: la verità che nessuno ti dice
- Meglio WooCommerce o Shopify? Il conto vero a 3 anni
- Runway Solaris: il sito senza codice è davvero vicino?
In sintesi
Controlla adesso la versione di Elementor Pro. Se è sotto la 4.2.2 e hai un form pubblicato con caricamento file, sei stato un bersaglio per sette settimane.
Aggiorna, ma poi apri la cartella degli upload e l'elenco degli amministratori: è lì che si capisce se sei arrivato in tempo. La vulnerabilità Elementor Pro si chiude con un update, la sua eredità no.
Se ti serve una mano per rimettere in sicurezza il sito, sai dove trovarmi.
