{"id":16002,"date":"2026-06-12T08:08:00","date_gmt":"2026-06-12T08:08:00","guid":{"rendered":"https:\/\/newblog.siteground.com\/it\/?p=16002"},"modified":"2026-06-23T12:11:54","modified_gmt":"2026-06-23T12:11:54","slug":"vulnerabilita-critica-updraftplus-risolta","status":"publish","type":"post","link":"https:\/\/it.siteground.com\/blog\/vulnerabilita-critica-updraftplus-risolta\/","title":{"rendered":"Vulnerabilit\u00e0 critica di UpdraftPlus risolta su tutti i siti WordPress ospitati da SiteGround"},"content":{"rendered":"\n

Se il tuo sito web utilizza il plugin di backup UpdraftPlus, ecco la versione breve: \u00e8 stata scoperta una vulnerabilit\u00e0 critica nel plugin e abbiamo gi\u00e0 aggiornato tutti i siti interessati che ospitiamo alla versione corretta. Il tuo sito \u00e8 protetto e non \u00e8 necessario alcun intervento da parte tua.<\/p>\n\n\n\n

Di seguito trovi cosa \u00e8 successo, cosa abbiamo fatto e cosa tenere d’occhio.<\/p>\n\n\n\n

<\/span>Il tuo sito \u00e8 gi\u00e0 protetto<\/strong><\/span><\/h2>\n\n\n\n

L’11 giugno 2026, il nostro team di ingegneri ha aggiornato forzatamente il plugin UpdraftPlus su tutti i siti ospitati che eseguivano una versione vulnerabile. Ogni installazione interessata \u00e8 stata aggiornata alla versione 1.26.5, che contiene la correzione ufficiale. Pi\u00f9 di 128.000 siti sulla nostra piattaforma eseguivano una versione vulnerabile e tutti sono stati corretti.<\/p>\n\n\n\n

Abbiamo testato i percorsi di aggiornamento prima di procedere e non abbiamo riscontrato problemi. Non ci aspettiamo alcun malfunzionamento dei siti web a seguito di questo aggiornamento.<\/p>\n\n\n\n

<\/span>Qual \u00e8 la vulnerabilit\u00e0<\/strong><\/span><\/h2>\n\n\n\n

La vulnerabilit\u00e0, identificata come CVE-2026-10795<\/a>, \u00e8 un bypass dell’autenticazione senza necessit\u00e0 di autenticazione preventiva (Unauthenticated Authentication Bypass) che interessa le versioni di UpdraftPlus fino alla 1.26.4. In parole semplici, permetteva agli attaccanti di ottenere l’accesso come amministratore a un sito WordPress senza conoscere alcun nome utente o password. Da l\u00ec, potevano eseguire codice sul sito, che \u00e8 la vulnerabilit\u00e0 peggiore che un plugin possa avere.<\/p>\n\n\n\n

La parte “non autenticata” \u00e8 ci\u00f2 che rende questa vulnerabilit\u00e0 ancora pi\u00f9 critica. Molte vulnerabilit\u00e0 richiedono che un attaccante abbia gi\u00e0 un certo livello di accesso, come un account da sottoscrittore o collaboratore. Questa non richiedeva nulla. Qualsiasi sito con una versione vulnerabile era esposto a chiunque fosse a conoscenza della falla.<\/p>\n\n\n\n

<\/span>Cosa abbiamo fatto e quando<\/strong><\/span><\/h2>\n\n\n\n

Non appena la vulnerabilit\u00e0 \u00e8 stata divulgata, il nostro team ha impiegato meno di un’ora per completare proattivamente l’aggiornamento della versione corretta del plugin su tutti i siti interessati, agendo immediatamente per chiudere la finestra di esposizione prima che gli attaccanti potessero sfruttarla su larga scala, piuttosto che aspettare che i proprietari dei siti aggiornassero manualmente o fossero colpiti in qualche modo.<\/p>\n\n\n\n

Ecco come si \u00e8 svolta la risposta:<\/p>\n\n\n\n