Falla in Ultra Addons for Contact Form 7 (CVSS 9,8): cosa devono controllare oggi le agenzie

Il 2 novembre 2026 Wordfence ha pubblicato una falla critica in Ultra Addons for Contact Form 7, un plugin con oltre 60.000 installazioni attive. Ha un punteggio CVSS di 9,8, non richiede login e può cancellare qualsiasi file sul server, compreso wp-config.php. Una versione corretta è disponibile da settimane, quindi per la maggior parte delle agenzie è un controllo veloce. Ecco chi è coinvolto, come controllare un sito cliente in due minuti e cosa fare se un sito sembra già anomalo.

Cos’è la falla

• Identificativo: CVE-2026-102435, CVSS 9,8 (critica), segnalata tramite Wordfence.
• Tipo: iniezione di oggetti PHP senza autenticazione tramite un campo di un modulo Contact Form 7, che porta alla cancellazione arbitraria di file.
• Perché conta: cancellare wp-config.php riporta WordPress alla schermata di installazione. Chi completa quella schermata può collegare il sito al proprio database e prenderne il controllo.

Chi è coinvolto

I siti con Ultra Addons for Contact Form 7 versione 3.5.54 o precedente, con l’add-on PDF Generator attivo e almeno un modulo impostato per generare un PDF. I siti che hanno il plugin ma non usano la funzione PDF non sono esposti a questa catena, ma devono comunque aggiornare. La versione attuale è la 3.5.57; la correzione è arrivata nelle versioni successive alla 3.5.54.

Nelle fonti che abbiamo controllato il 5 novembre 2026 non abbiamo trovato attacchi confermati. Alcune newsletter di sicurezza dicono che circolano dettagli sull’exploit, e un 9,8 senza login è il tipo di falla che viene scansionata in fretta. Non aspettare le prove degli attacchi.

Controlla un sito in due minuti

1. In wp-admin: Plugin, cerca “Ultra Addons”. Annota la versione. Se è la 3.5.54 o inferiore, apri le impostazioni degli add-on del plugin e verifica se PDF Generator è attivo.
2. Con WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Eseguilo su tutti i siti clienti per avere un unico elenco.
3. Guarda il sito pubblico: se il sito mostra all’improvviso la schermata di installazione di WordPress o quella “crea un file di configurazione”, wp-config.php è sparito. Trattalo come un incidente (vedi sotto).

Cosa fare ora

1. Aggiorna alla 3.5.57 su ogni sito che ha il plugin, con o senza la funzione PDF.
2. Prova un modulo dopo l’aggiornamento. Invialo, controlla che la mail arrivi e, se generi PDF, che il PDF sia allegato. Le versioni recenti hanno cambiato anche il caricamento dei file e la gestione dei PDF.
3. Non puoi aggiornare oggi? Disattiva l’add-on PDF Generator finché non puoi.
4. Se un sito mostra la schermata di installazione: non completarla. Metti il sito offline presso l’hosting, ripristina file e database da un backup precedente al problema, aggiorna il plugin, poi cambia le password del database e degli amministratori e i salt in wp-config.php. Controlla account amministratore e file sconosciuti. La nostra routine per il giorno di una vulnerabilità e la guida al ripristino contengono tutti i passaggi.

Come aiuta Verploy

Ogni aggiornamento viene controllato. Quelli rischiosi vengono testati prima su una copia, moduli inclusi. Le vulnerabilità note compaiono per sito con un link alla fonte, quindi un’unica dashboard ti dice quali siti clienti usano ancora la 3.5.54 o precedente. I backup notturni cifrati nell’UE ti danno un punto pulito a cui tornare. Scopri di più sul monitoraggio delle vulnerabilità per agenzie.

Fonte: scheda CVE-2026-102435 (assegnata da Wordfence), pubblicata il 2 novembre 2026, wordfence.com; pagina e changelog del plugin, wordpress.org. Controllato il 5 novembre 2026.