Se usi Elementor Pro, controlla subito la versione installata: CVE-2026-32475 colpisce le versioni fino alla 4.2.1 e viene sfruttata in attacchi reali. La falla può permettere a un visitatore non autenticato di caricare un file pericoloso e, nelle configurazioni vulnerabili, arrivare all’esecuzione di codice sul server. La correzione è disponibile da Elementor Pro 4.2.2.
Il punto più importante è pratico: non basta sapere di avere Elementor installato. Devi verificare se usi Elementor Pro, quale versione è attiva e se sul sito esiste almeno un modulo pubblicato con un campo File Upload. Se la risposta è sì e la versione è 4.2.1 o precedente, l’aggiornamento ha priorità alta.
Elementor Pro è vulnerabile? La risposta rapida
| Controllo | Cosa significa |
|---|---|
| Elementor Pro 4.2.1 o precedente | Versione vulnerabile |
| Elementor Pro 4.2.2 o successiva | Correzione per CVE-2026-32475 presente |
| Form pubblicato con campo File Upload | Configurazione da verificare con priorità |
| Nessun Elementor Pro installato | Questa specifica CVE non riguarda il sito |
| Plugin aggiornato dopo giorni di esposizione | Serve comunque controllare possibili tracce precedenti |
La vulnerabilità è registrata come CVE-2026-32475 e riguarda un caricamento di file non sufficientemente limitato nel modulo Forms. La scheda tecnica assegna un punteggio CVSS 9.0, quindi il problema rientra nella fascia critica.
Quali siti WordPress sono realmente a rischio
Non tutti i siti WordPress con Elementor hanno la stessa esposizione. La falla riguarda Elementor Pro, non la sola versione gratuita del page builder. Per lo scenario di attacco documentato serve inoltre una pagina pubblicata che contenga il widget Form con almeno un campo destinato al caricamento di file.
È una configurazione comune in moduli per candidature, assistenza, richieste di preventivo, invio di documenti, immagini o ricevute. Il campo non deve necessariamente essere obbligatorio per rendere pertinente il controllo. Questo spiega perché una vulnerabilità apparentemente legata a una funzione specifica può interessare un numero elevato di installazioni.
La ricerca pubblicata da Patchstack su CVE-2026-32475 ricostruisce la falla e indica Elementor Pro 4.2.2 come versione corretta. Non è necessario conoscere il dettaglio dell’exploit per proteggere il sito: la decisione operativa resta aggiornare e verificare l’ambiente.
Come controllare la versione di Elementor Pro
- Apri la bacheca di WordPress.
- Vai in Plugin > Plugin installati.
- Individua Elementor Pro e leggi il numero di versione.
- Se compare 4.2.1 o una release precedente, aggiorna almeno alla 4.2.2 o, meglio, alla versione stabile più recente compatibile con il sito.
- Controlla anche Elementor gratuito, perché le due componenti devono restare compatibili.
- Dopo l’aggiornamento svuota le cache e verifica i moduli principali del sito.
Elementor raccomanda di mantenere aggiornate entrambe le componenti e di eseguire un backup prima degli interventi importanti. La guida ufficiale di Elementor agli aggiornamenti descrive la procedura dal pannello WordPress e le precauzioni da prendere.
Aggiornare basta? Non sempre
La patch chiude la vulnerabilità per i nuovi tentativi, ma non dimostra che il sito fosse pulito prima dell’aggiornamento. Se una versione vulnerabile è rimasta online durante la finestra di sfruttamento, conviene eseguire almeno un controllo di integrità.
Questo principio vale per molte falle WordPress: una correzione software elimina la causa tecnica, mentre un eventuale file lasciato da un attaccante può continuare a esistere. Su Tech abbiamo già visto lo stesso problema parlando delle vulnerabilità dei plugin WordPress e dell’importanza di aggiornare rapidamente.
Il controllo più utile: la cartella dei file caricati dai Form
Le analisi degli attacchi indicano come area da esaminare la directory /wp-content/uploads/elementor/forms/. La presenza di file PHP inattesi in questa cartella è un segnale forte che richiede un’indagine. Un normale modulo di upload dovrebbe ricevere documenti o immagini previsti dal sito, non script PHP eseguibili.
Non eliminare alla cieca ogni file che non riconosci se il sito è importante o gestisce dati sensibili. Prima conserva una copia, controlla data e proprietario del file, confronta i log e verifica se esistono altre modifiche nello stesso intervallo temporale. Se emergono elementi sospetti, tratta il caso come un possibile incidente e coinvolgi chi gestisce hosting o sicurezza.
Cosa controllare nei log e nel pannello WordPress
- File PHP inattesi nelle directory di upload.
- Account amministratore creati di recente che non riconosci.
- Plugin o temi installati senza una modifica pianificata.
- File del tema o di WordPress modificati in orari anomali.
- Richieste POST insolite verso le pagine che contengono i moduli Elementor.
- Reindirizzamenti, popup, pagine sconosciute o attività cron non previste.
- Modifiche a
wp-config.php,.htaccesso file PHP principali che non coincidono con aggiornamenti legittimi.
Un singolo elemento non dimostra automaticamente una compromissione. La forza del controllo sta nel correlare più segnali: un file sospetto, una richiesta anomala e un account appena creato nello stesso periodo formano un quadro molto più significativo di un evento isolato.
Se non usi il campo File Upload puoi ignorare l’aggiornamento?
No. Il fatto che la configurazione più direttamente sfruttabile richieda un campo di caricamento non è un buon motivo per lasciare Elementor Pro su una versione con una vulnerabilità critica nota. I moduli possono essere aggiunti in futuro, duplicati da vecchie pagine o presenti in sezioni che non ricordi.
La scelta più sicura è aggiornare e poi verificare la compatibilità. Se temi che l’update rompa una funzione del sito, prepara un backup e prova l’intervento in staging. Rimandare una patch già disponibile lascia invece aperto un rischio che non porta alcun vantaggio funzionale.
Perché 2FA e password forti non fermano questa falla
La vulnerabilità può essere sfruttata senza un account WordPress valido. Per questo autenticazione a due fattori e password robuste restano fondamentali, ma non sostituiscono la patch. Sono difese contro il furto o l’abuso delle credenziali, mentre qui il problema nasce prima dell’autenticazione.
La distinzione è utile anche per leggere correttamente le misure di sicurezza. Abbiamo spiegato il ruolo della 2FA per gli account WordPress che gestiscono plugin e temi: protegge un’altra superficie di attacco e va affiancata agli aggiornamenti, non usata al loro posto.
Checklist rapida per CVE-2026-32475
| Passaggio | Priorità |
|---|---|
| Controllare la versione di Elementor Pro | Immediata |
| Aggiornare almeno a 4.2.2 | Immediata |
| Verificare pagine con Form e File Upload | Alta |
Controllare /wp-content/uploads/elementor/forms/ | Alta se il sito era vulnerabile |
| Rivedere log, utenti e plugin inattesi | Alta se il sito era esposto |
| Testare form, cache e frontend dopo l’update | Subito dopo la patch |
La decisione finale è semplice: se Elementor Pro è fermo alla 4.2.1 o a una versione precedente, aggiornalo adesso. Se l’installazione vulnerabile è rimasta online con moduli di upload pubblicati, non considerare concluso l’intervento finché non hai controllato almeno la directory dei form, gli account e i log principali. La patch riduce il rischio futuro; la verifica serve a capire cosa può essere successo prima.
