{"id":13853,"date":"2025-12-05T07:49:20","date_gmt":"2025-12-05T06:49:20","guid":{"rendered":"https:\/\/www.sitowebsicuro.com\/?p=13853"},"modified":"2025-12-11T08:19:16","modified_gmt":"2025-12-11T07:19:16","slug":"plugin-wordpress-sotto-attacco-falle-critiche-in-king-addons-e-acf-extended","status":"publish","type":"post","link":"https:\/\/www.sitowebsicuro.com\/it\/plugin-wordpress-sotto-attacco-falle-critiche-in-king-addons-e-acf-extended\/","title":{"rendered":"Plugin WordPress sotto attacco falle critiche in King Addons e ACF Extended"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Due plugin WordPress molto diffusi, King Addons per Elementor<\/strong> e ACF Extended<\/strong>, sono finiti sotto la lente dei ricercatori di sicurezza a causa di vulnerabilit\u00e0 critiche<\/strong> che possono permettere a un attaccante di prendere il controllo completo di un sito.<\/p>

Se utilizzi WordPress<\/strong> per il tuo sito aziendale o per il tuo e-commerce, questa non \u00e8 una notizia da prendere alla leggera: potresti avere una porta spalancata sul tuo sito senza nemmeno saperlo.<\/p>

\"Falle<\/p>

Perch\u00e9 questa notizia riguarda (molto) anche il tuo sito WordPress<\/h4>

La forza di WordPress sta proprio nell\u2019ecosistema di temi e plugin che permette di aggiungere facilmente funzionalit\u00e0 e personalizzazioni. Ogni plugin, per\u00f2, introduce nuovo codice e, con esso, potenziali falle di sicurezza<\/strong>.<\/p>

In questo caso parliamo di estensioni che sono spesso presenti su siti reali. King Addons<\/strong> \u00e8 un set di widget e funzionalit\u00e0 extra per Elementor, utilizzato per arricchire le pagine con elementi grafici e blocchi avanzati. ACF Extended<\/strong>, invece, estende le funzionalit\u00e0 di Advanced Custom Fields, uno strumento molto usato da agenzie e sviluppatori per gestire campi e contenuti personalizzati.<\/p>

Il problema \u00e8 che in alcune versioni di questi plugin sono state scoperte vulnerabilit\u00e0 con punteggio di gravit\u00e0 critico<\/strong>, gi\u00e0 sfruttate attivamente in attacchi reali.<\/p>

\"Plugin<\/p>

I plugin coinvolti: cosa fanno e perch\u00e9 sono pericolosi ora<\/h4>

Nei rilasci vulnerabili di King Addons for Elementor \u00e8 presente un grave errore nella gestione della registrazione degli utenti. In pratica, un attaccante pu\u00f2 inviare una richiesta al sito e registrarsi autonomamente come amministratore, senza alcuna autenticazione o controllo.<\/p>

Tradotto in termini semplici: chiunque, da Internet, pu\u00f2 creare un utente admin<\/strong> sul tuo sito e fare esattamente le stesse cose che fai tu o la tua web agency. Alcuni provider di sicurezza hanno gi\u00e0 registrato decine di migliaia di tentativi di sfruttare questo problema contro siti che utilizzano questo plugin.<\/p>

La vulnerabilit\u00e0 in ACF Extended \u00e8 ancora pi\u00f9 profonda, perch\u00e9 si tratta di una Remote Code Execution (RCE) non autenticata<\/strong>. Questo significa che, in determinate versioni, un aggressore pu\u00f2 inviare una richiesta costruita ad hoc e far eseguire al server codice arbitrario a sua scelta. Una volta ottenuta questa possibilit\u00e0, il campo di manovra dell\u2019attaccante \u00e8 enorme: pu\u00f2 installare una backdoor e restare nascosto a lungo, creare nuovi amministratori, leggere o modificare i dati presenti nel database, oppure usare il tuo sito come piattaforma per campagne di phishing o diffusione di malware.<\/p>

In entrambi i casi stiamo parlando di vulnerabilit\u00e0 classificate come critiche<\/strong>, per le quali esistono gi\u00e0 Proof of Concept pubbliche e tentativi di sfruttamento documentati sul campo.<\/p>

\"Cosa<\/p>

<\/figure>

Cosa rischi concretamente se usi questi plugin vulnerabili<\/h4>

Se il tuo sito utilizza ancora versioni non aggiornate di King Addons o ACF Extended, le conseguenze possibili non sono affatto teoriche. Il tuo sito potrebbe subire un defacement, cio\u00e8 essere modificato, oscurato o mostrare pagine \u201chackerate\u201d in modo evidente. Potresti subire un furto di dati<\/strong>, che pu\u00f2 coinvolgere il database utenti, gli ordini, le email e varie informazioni personali.<\/p>

Esiste inoltre il rischio che il sito finisca in blacklist<\/strong>, cio\u00e8 nelle liste nere di browser e motori di ricerca, perch\u00e9 utilizzato per distribuire malware o contenuti malevoli. Questo avrebbe un impatto immediato sulla reputazione<\/strong>: i tuoi clienti potrebbero imbattersi in avvisi di sicurezza, pagine compromesse o errori gravi. A tutto ci\u00f2 si aggiunge il danno SEO<\/strong>, con un possibile calo di posizionamento e di traffico se Google rileva contenuti sospetti o malevoli.<\/p>

Il problema pi\u00f9 subdolo \u00e8 che molte di queste attivit\u00e0 possono avvenire senza che nessuno del tuo team se ne accorga subito.<\/p>

\"Falle<\/p>

<\/figure>

Come capire se il tuo sito \u00e8 a rischio<\/h4>

Un primo controllo puoi farlo in autonomia, in pochi minuti. Accedi alla bacheca di WordPress con un account amministratore e apri la sezione dedicata ai plugin installati. A questo punto verifica se nella lista compaiono plugin come \u201cKing Addons for Elementor\u201d o componenti con nomi simili legati a King Addons, e se tra i plugin vedi \u201cACF Extended\u201d o \u201cAdvanced Custom Fields: Extended\u201d.<\/p>

Se uno di questi plugin \u00e8 presente, controlla quale versione \u00e8 installata, informazione che trovi sotto il nome del plugin, e verifica se \u00e8 disponibile un aggiornamento. Se non sei sicuro di quali siano le versioni sicure, una regola prudente \u00e8 considerare a rischio qualsiasi plugin che non sia aggiornato all\u2019ultima release disponibile<\/strong>.<\/p>

\"Falle<\/p>

<\/figure>

Cosa fare subito: aggiornare, controllare, proteggere<\/h4>

Se hai trovato uno dei due plugin nel tuo sito, il primo passo \u00e8 aggiornare immediatamente<\/strong> all\u2019ultima versione disponibile dalla bacheca di WordPress. Se il plugin non \u00e8 davvero essenziale per le funzionalit\u00e0 del sito, puoi anche valutare di disattivarlo e rimuoverlo del tutto.<\/p>

Subito dopo, \u00e8 opportuno controllare la sezione \u201cUtenti\u201d di WordPress, eliminare eventuali account sospetti, cambiare la password degli amministratori e, se possibile, abilitare l\u2019autenticazione a due fattori (2FA)<\/strong> per rendere pi\u00f9 difficile qualsiasi accesso non autorizzato. \u00c8 utile anche esaminare, per quanto possibile, i log di accesso e gli ultimi cambiamenti effettuati: plugin installati di recente, file modificati in date insolite o attivit\u00e0 anomale nell\u2019area di amministrazione.<\/p>

Se il sito gestisce dati sensibili, come ordini, aree riservate o informazioni sui clienti, pu\u00f2 essere opportuno programmare un audit tecnico completo<\/strong>.<\/p>

Non aspettare che sia troppo tardi!<\/strong><\/p>

Se non sei sicuro che il tuo sito sia davvero protetto o non ti senti a tuo agio nel gestire da solo questi controlli tecnici, chiedere aiuto \u00e8 la scelta pi\u00f9 prudente.<\/p>

Con gli Strumenti di SitoWebSicuro<\/strong><\/a> puoi trovare supporto dedicato per analizzare il tuo WordPress, verificare i plugin installati e individuare eventuali falle prima che qualcuno le sfrutti al posto tuo. Un controllo oggi pu\u00f2 evitarti un incidente molto pi\u00f9 serio domani.<\/p>

Fonte: Vulnerabilit\u00e0 critiche nei plugin WordPress: King Addons per Elementor e Extended nel mirino<\/a><\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Due plugin WordPress molto diffusi, King Addons per Elementor e ACF Extended, sono finiti sotto la lente dei ricercatori di sicurezza a causa di vulnerabilit\u00e0 critiche che possono permettere a un attaccante di prendere il controllo completo di un sito. Se utilizzi WordPress per il tuo sito aziendale o per il tuo e-commerce, questa non […]<\/p>\n","protected":false},"author":4,"featured_media":13873,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"Plugin WordPress a Rischio: Falle Critiche in King Addons e ACF %%sep%% %%sitetitle%%","_seopress_titles_desc":"Scoperte falle critiche nei plugin WordPress King Addons e ACF Extended. Ecco i rischi per la sicurezza dei siti e le azioni urgenti da intraprendere per proteggere i dati","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_sitemap_exclude":false,"_sitemap_priority":"","_sitemap_frequency":"","footnotes":""},"categories":[16],"tags":[],"class_list":["post-13853","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"_links":{"self":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts\/13853","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/comments?post=13853"}],"version-history":[{"count":4,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts\/13853\/revisions"}],"predecessor-version":[{"id":13876,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/posts\/13853\/revisions\/13876"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/media\/13873"}],"wp:attachment":[{"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/media?parent=13853"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/categories?post=13853"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sitowebsicuro.com\/it\/wp-json\/wp\/v2\/tags?post=13853"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}