Se usi Super Forms su WordPress, controlla subito la versione: CVE-2026-14894 colpisce tutte le release fino alla 6.3.313 ed è già sfruttata in attacchi reali. La vulnerabilità può permettere a un visitatore non autenticato di caricare file pericolosi e arrivare all’esecuzione di codice sul server. La correzione è disponibile dalla versione 6.3.314.
Il problema non è teorico. Wordfence ha documentato una campagna di sfruttamento iniziata dopo la divulgazione della falla e ha bloccato centinaia di migliaia di tentativi. Per chi gestisce un sito la priorità è quindi doppia: aggiornare il plugin e controllare se durante la finestra di esposizione sono comparsi file o modifiche anomale.
Super Forms è vulnerabile? La risposta rapida
| Controllo | Cosa significa |
|---|---|
| Super Forms 6.3.313 o precedente | Versione vulnerabile |
| Super Forms 6.3.314 o successiva | Correzione per CVE-2026-14894 presente |
| Sito rimasto online con una versione vulnerabile | Serve anche una verifica post-compromissione |
| Plugin non installato | Questa specifica CVE non riguarda il sito |
| WAF attivo | Riduce il rischio, ma non sostituisce la patch |
La scheda tecnica di Wordfence su CVE-2026-14894 assegna alla falla un punteggio CVSS di 9.8 su 10. Il difetto riguarda la validazione dei file inviati al plugin e può essere raggiunto senza un account WordPress valido.
Perché CVE-2026-14894 è così pericolosa
Un modulo WordPress deve poter ricevere dati dai visitatori, ma il server deve decidere con precisione quali file siano accettabili. In Super Forms fino alla 6.3.313 questo controllo può essere aggirato. Il risultato è che un attaccante remoto può tentare di depositare sul sito un file eseguibile che WordPress non dovrebbe mai trattare come un normale allegato.
La conseguenza più grave è la remote code execution: se il file caricato viene eseguito dal server, l’attaccante può arrivare a modificare il sito, creare persistenza, alterare contenuti o usare l’installazione come punto di partenza per altre attività. Non serve spiegare il payload per capire la decisione operativa: una versione vulnerabile non dovrebbe restare online.
Gli attacchi sono reali, non una possibilità astratta
Wordfence ha pubblicato il 3 settembre 2026 un avviso sullo sfruttamento attivo di Super Forms. Secondo la telemetria resa pubblica, gli attacchi sono iniziati il 14 luglio e il firewall di Wordfence aveva già bloccato oltre 250.000 tentativi quando l’azienda ha diffuso l’aggiornamento sulla campagna.
Questo dato cambia la priorità rispetto a una vulnerabilità soltanto teorica. Se il tuo sito ha eseguito Super Forms 6.3.313 o una versione precedente durante quel periodo, aggiornare oggi impedisce nuovi tentativi noti, ma non dimostra che il sito non sia stato toccato prima.
Come aggiornare Super Forms senza fare confusione
- Apri Plugin > Plugin installati nella bacheca WordPress.
- Individua Super Forms – Drag & Drop Form Builder.
- Controlla il numero di versione installato.
- Se è 6.3.313 o precedente, aggiorna almeno alla 6.3.314 o alla release stabile più recente disponibile.
- Dopo l’update svuota le cache e prova i moduli pubblici più importanti.
- Se il sito è rimasto vulnerabile, passa ai controlli di sicurezza prima di considerare chiuso l’intervento.
Su siti e-commerce, portali con lead o moduli complessi è ragionevole eseguire prima un backup e verificare il funzionamento dei form dopo l’aggiornamento. Il backup serve a recuperare da eventuali problemi operativi, non va usato come prova che una vecchia copia sia pulita se sospetti una compromissione.
Cosa controllare dopo la patch
La patch corregge il punto vulnerabile, ma un file lasciato sul server prima dell’aggiornamento può restare presente. Lo stesso principio vale per il recente caso che abbiamo analizzato su Elementor Pro vulnerabile e i controlli da fare dopo l’update.
- File PHP inattesi nelle directory di upload o in cartelle dove normalmente dovrebbero esserci solo documenti e immagini.
- Account amministratore creati di recente che non riconosci.
- Plugin, temi o mu-plugin comparsi senza una modifica pianificata.
- File di WordPress o del tema modificati in orari anomali.
- Attività cron, redirect o pagine sconosciute.
- Richieste insolite nei log del server durante il periodo in cui il plugin era vulnerabile.
Un singolo file sconosciuto non dimostra da solo un’intrusione. Se trovi più segnali coerenti, conserva log e copie dei file prima di cancellare elementi alla cieca. Su un sito aziendale o che gestisce dati personali, la risposta corretta è trattare l’evento come un possibile incidente e coinvolgere hosting o responsabile della sicurezza.
Il WAF basta per proteggere il sito?
No. Un Web Application Firewall può bloccare firme e comportamenti riconducibili agli exploit conosciuti, ma non è un sostituto dell’aggiornamento. Una regola può ridurre l’esposizione mentre programmi l’intervento, mentre la patch elimina la vulnerabilità nota nel componente che stai usando.
Anche la 2FA protegge un’altra superficie. Abbiamo spiegato come funziona l’autenticazione a due fattori su WordPress, ma CVE-2026-14894 può essere attaccata senza possedere le credenziali di un amministratore. Per questo le due difese sono complementari, non alternative.
Super Forms 6.3.314: cosa fare adesso
| Azione | Priorità |
|---|---|
| Verificare la versione installata | Immediata |
| Aggiornare almeno alla 6.3.314 | Immediata |
| Testare i form dopo l’update | Alta |
| Controllare file, utenti e log se il sito era esposto | Alta |
| Lasciare una vecchia versione contando solo sul WAF | Da evitare |
Se Super Forms è fermo alla 6.3.313 o a una release precedente, aggiornalo subito. La differenza rispetto a molti advisory è che qui lo sfruttamento è già stato osservato su larga scala. Dopo la patch, se il sito è rimasto online durante la finestra di attacco, controllare integrità dei file, utenti e log è parte dell’intervento, non un passaggio opzionale.
