Social Login WooCommerce: chiunque entra come admin
Serve solo l'indirizzo email dell'amministratore. Niente password, niente furto di credenziali, niente tentativi. Il plugin apre la porta e consegna la sessione. La correzione esiste dal 27 luglio — il problema è che non arriva da sola.
Cosa è successo. Il plugin „Social Login“ per WordPress e WooCommerce, fino alla versione 2.8.7 compresa, accetta un documento di identità digitale di Apple senza controllarne la firma. Chi conosce l'indirizzo email di un amministratore può entrare come lui. Punteggio di gravità: 9,8 su 10.
Per chi non vale. Se il tuo sito non è WordPress, o non hai mai installato un plugin di accesso con i social, questa pagina non ti riguarda. Cinque minuti di verifica te lo confermano.
Perché conviene leggerlo. Perché la correzione è uscita il 27 luglio, cinque giorni prima dell'allarme pubblico, e moltissimi negozi non l'hanno ricevuta: è un plugin comprato su un marketplace, e quelli non compaiono negli aggiornamenti automatici di WordPress.
- Come si chiama esattamente il plugin e dove guardare per sapere se ce l'hai.
- Perché il tuo WordPress si aggiorna da solo e questo pezzo no.
- Cosa controllare se il plugin c'era: aggiornare non basta.
- Cosa dice il registro pubblico di WordPress.org sulle alternative gratuite, verificato oggi.
Il pulsante „Accedi con Apple“ sul tuo negozio esiste per una ragione gentile: risparmiare al cliente l'ennesima password. Fino al 27 luglio, su una certa versione di un certo plugin, risparmiava la password anche a chi voleva entrare nel tuo pannello di amministrazione.
Il plugin si chiama Social Login, è dell'autore WPWeb, si compra su un marketplace a 39 dollari e nei rapporti di sicurezza compare come WooCommerce – Social Login. La falla ha il codice CVE-2026-8457 e un punteggio di gravità di 9,8 su 10, che è praticamente il massimo.
Ci occupiamo di hosting gestito e di sviluppo di siti e applicazioni, quindi queste notizie le leggiamo per mestiere. Ne avevamo scritta una simile il 22 luglio, quando l'allarme wp2shell aveva svegliato mezzo mondo WordPress. Questa è più silenziosa e, per certi versi, più sgradevole: non c'è niente da scoprire, la correzione è già pronta da dieci giorni. Deve solo arrivare fino al tuo sito.
Cos'è la falla CVE-2026-8457
Definizione. CVE-2026-8457 è un aggiramento dell'autenticazione nel plugin Social Login di WPWeb per WordPress e WooCommerce, presente in tutte le versioni fino alla 2.8.7 compresa, che permette a un visitatore non registrato di ottenere una sessione da amministratore conoscendo soltanto un indirizzo email.
La classificazione tecnica è CWE-289, „aggiramento dell'autenticazione tramite nome alternativo“. Il vettore di gravità pubblicato è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: attaccabile dalla rete, complessità bassa, nessun privilegio richiesto, nessuna interazione dell'utente, impatto alto su tutto. Ogni singolo parametro è nella casella peggiore.
Tradotto in italiano corrente: non serve essere clienti del negozio, non serve indovinare niente, non serve che qualcuno clicchi su qualcosa. Serve un indirizzo email che esista già sul sito.
Cosa succede in pratica: basta un'email
Quando qualcuno accede con Apple, Apple emette un documento firmato che dice, in sostanza: „questa persona è davvero [email protected], garantisco io“. È un token, cioè un tagliando digitale con una firma sopra.
Il lavoro del sito che riceve quel tagliando è uno solo: verificare la firma. Apple pubblica le proprie chiavi apposta. Un tagliando senza firma valida non vale niente.
Il plugin, nelle versioni fino alla 2.8.7, apriva il tagliando e leggeva l'email scritta dentro senza controllare la firma, e senza controllare chi lo avesse emesso, per chi fosse valido e se fosse scaduto. Poi cercava quell'email tra gli utenti del sito e apriva la sessione. Senza escludere i ruoli — quindi anche se quell'email apparteneva a un amministratore.
È come un buttafuori che controlla il nome sulla lista ma non guarda il documento. Se sai come si chiama uno che è sulla lista, entri al posto suo.
Qui sta la parte che rende la falla grave davvero. Gli indirizzi degli amministratori non sono informazioni riservate: stanno nella pagina contatti, nelle risposte alle recensioni, nel whois del dominio, nella firma delle email che il negozio manda tutti i giorni. Su molti siti WordPress, il nome utente dell'autore degli articoli è pubblico per costruzione.
Una difesa che si regge su un'informazione stampata sui biglietti da visita non è una difesa.
La cronologia che conta: correzione il 27, allarme il 1°
Le date raccontano una storia che nei bollettini non si vede, perché nei bollettini c'è solo la data della pubblicazione.
| Data | Cosa è successo | Dove si legge |
|---|---|---|
| 27 luglio 2026 | Esce la versione 2.8.8. Il changelog dice: „Fix: Fixed & Improved validation and verification of Apple Sign-In ID tokens“ | Scheda del prodotto sul marketplace |
| 1 agosto 2026 | La falla diventa pubblica con il codice CVE-2026-8457, gravità 9,8 | Bollettino di sicurezza |
| 2 agosto 2026 | L'avviso entra nel database pubblico delle vulnerabilità, con la descrizione tecnica completa | GitHub Advisory Database |
| 3 agosto 2026 | La notizia arriva sulla stampa di settore | Search Engine Journal, articolo di Roger Montti |
| 7 agosto 2026 | La scheda del prodotto mostra ancora la 2.8.8 come ultima versione, con 3.564 vendite e prezzo 39 dollari | Verificato da noi in pari data |
Le prime quattro righe vengono dai documenti linkati. L'ultima è una nostra verifica diretta della scheda pubblica del prodotto, fatta il 7 agosto 2026: può cambiare da un giorno all'altro.
Cinque giorni tra la correzione e l'allarme sono una buona notizia: significa che l'autore ha sistemato prima che la cosa diventasse pubblica. È esattamente come dovrebbe funzionare.
La parte scomoda viene dopo. 3.564 vendite è il numero che si legge sulla scheda. Non sono 3.564 siti — alcuni acquisti non sono mai stati installati, altri sono finiti su più siti, e di un plugin a 39 dollari girano anche copie scaricate altrove, che non ricevono aggiornamenti per definizione. Il numero vero non lo sa nessuno, ma la direzione dell'errore è una sola: i siti esposti sono di più delle vendite, non di meno.
Perché WordPress si aggiorna da solo e questo plugin no
Questa è la parte che vale l'articolo, ed è anche quella che quasi nessuno spiega a chi possiede il negozio invece di amministrarlo.
WordPress ha un meccanismo di aggiornamento automatico che funziona bene. Ma funziona per i pezzi che stanno nel registro pubblico di WordPress.org. Il sito controlla periodicamente quel registro, vede che esiste una versione più nuova e la installa o te la segnala.
Un plugin comprato su un marketplace non sta in quel registro. Il sito non ha nessun posto dove andare a chiedere „c'è una versione nuova?“.
L'abbiamo verificato invece di darlo per scontato. Il 7 agosto abbiamo interrogato l'API pubblica del registro di WordPress.org con la sigla del plugin. Risposta: {"error":"Plugin not found."}. Non esiste, lì dentro.
| Pezzo del sito | Si aggiorna da solo? | Cosa serve perché succeda |
|---|---|---|
| Il nucleo di WordPress | Sì, di serie | Niente. Gli aggiornamenti di sicurezza partono da soli, salvo che qualcuno li abbia disattivati |
| Plugin dal registro WordPress.org | Sì, se lo attivi | Un interruttore per plugin nella schermata Plugin, oppure il tuo pannello di hosting |
| Plugin comprati su un marketplace | Quasi mai | Un aggiornatore fornito dall'autore più il codice d'acquisto inserito nel sito, oppure lo scarichi e lo carichi a mano |
| Temi e plugin su misura | No | Chi li ha scritti. Se non c'è più, nessuno |
La riga evidenziata è quella che riguarda questa falla. Vale anche quando l'aggiornatore c'è: se l'abbonamento agli aggiornamenti è scaduto, se il codice d'acquisto sta nell'account di un fornitore che non lavora più con te, o se il plugin è stato installato caricando un file, la versione nuova non arriva mai.
Ecco perché il pannello del tuo sito può mostrare zero aggiornamenti in sospeso mentre hai in casa una versione con una falla da 9,8. Non c'è niente di rotto: nessuno gli ha mai detto dove guardare.
Il pannello degli aggiornamenti mostra quello che sa. Le cose che non sa sono esattamente quelle che nessuno controlla.
Hai questo plugin? Come si controlla
Serve poco, ma serve preciso. Ci sono decine di plugin che aggiungono i pulsanti social all'accesso, e solo uno è questo.
- Accesso al pannello di WordPress con un utente amministratore.
- Due minuti nella schermata Plugin › Plugin installati.
- Il nome e l'autore, non solo il nome: cerchi Social Login con autore WPWeb. Il nome da solo appartiene anche ad altri plugin, diversi e non coinvolti.
- Il numero di versione, scritto sotto la descrizione. Da 2.8.7 in giù sei esposto; 2.8.8 o superiore è corretto.
- Se hai accesso ai file, la cartella si chiama di solito
woocommerce-social-logindentrowp-content/plugins/.
Se amministri più siti e hai WP-CLI, la risposta arriva in una riga per sito:
# elenca i plugin il cui nome contiene "social", con versione e stato
wp plugin list --format=table --fields=name,status,version | grep -i social
# oppure, diretto: che versione ho di questo?
wp plugin get woocommerce-social-login --field=versionIl plugin disattivato ma ancora presente merita una nota. Un plugin disattivato non esegue codice, quindi in questo caso specifico non è sfruttabile. Ma resta sul disco, e basta un clic distratto per riattivarlo. Se non lo usi, si cancella: è la manutenzione più economica che esista.
Cosa fai stasera, in dieci minuti
- Guarda se ce l'hai, con nome e autore, come sopra. Nove volte su dieci finisce qui e vai a cena.
- Fai una copia di sicurezza prima di toccare qualsiasi cosa. Se il tuo hosting fa copie automatiche, verifica che ce ne sia una di oggi.
- Porta il plugin alla 2.8.8 o superiore. Se l'aggiornatore c'è, un clic. Se non c'è, scarichi il pacchetto dal tuo account sul marketplace e lo carichi.
- Se non puoi aggiornare adesso — codice d'acquisto perso, fornitore irreperibile, sito bloccato in freeze — disattiva il plugin. Il negozio perde i pulsanti social all'accesso; i clienti entrano con email e password come sempre.
- Controlla la lista degli utenti amministratori. Uno solo che non riconosci è abbastanza per fermarsi e chiamare qualcuno.
- Butta fuori tutti dalle sessioni aperte e cambia le password degli amministratori. Se qualcuno era entrato, la sua sessione muore qui.
- Segna la data da qualche parte. Fra sei mesi ti servirà sapere quando hai controllato.
Il punto 6, per chi lavora da riga di comando, è questo — e il secondo comando è quello che invalida davvero tutte le sessioni aperte, perché cambia le chiavi con cui i cookie di accesso sono firmati:
# elenca gli amministratori: chi c'è, con che email, da quando
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# chiude tutte le sessioni di tutti gli utenti
wp user session destroy --all --all-users
# rigenera le chiavi di firma: invalida qualunque cookie di accesso esistente
wp config shuffle-salts
Come capisci se qualcuno è già entrato
Domanda giusta, e la risposta onesta è che con gli strumenti di serie non lo sai con certezza. Puoi però cercare i segni, e sono sempre gli stessi:
- Utenti amministratori che non riconosci, o utenti normali diventati amministratori. Guarda la data di registrazione: se è vecchia e il ruolo è nuovo, è peggio, non meglio.
- Plugin che non hai installato tu, spesso con nomi che sembrano tecnici e innocui.
- File modificati di recente dentro le cartelle di WordPress, soprattutto
wp-content/uploads/, dove non dovrebbe esserci nulla di eseguibile. - Accessi riusciti dai log in orari in cui nessuno lavorava. Se hai un plugin di sicurezza con il registro degli accessi, la risposta è lì.
- Email in uscita di cui nessuno sa niente, o il dominio finito in qualche lista nera di spam.
Se trovi anche uno solo di questi segni, la strada corretta non è ripulire e sperare. È isolare il sito, conservare i log e ricostruire da una copia sana precedente, aggiornando prima di rimettere online. Un intruso che ha avuto accesso da amministratore ha avuto anche il tempo di lasciare una seconda porta.
Cosa l'aggiornamento non risolve
| Cosa fa l'aggiornamento | Cosa non fa |
|---|---|
| Chiude la porta | Non caccia chi è già dentro. Le sessioni aperte restano valide finché non le chiudi tu. |
| Corregge il controllo della firma | Non rimuove utenti, plugin o file lasciati da un eventuale accesso precedente. |
| Ti mette in pari oggi | Non cambia il fatto che il prossimo aggiornamento di quel plugin dovrai di nuovo andartelo a prendere. |
| Vale per questo plugin | Non dice niente sugli altri pezzi comprati fuori dal registro, che hanno lo stesso identico problema di consegna. |
L'ultima riga è quella che vale un pomeriggio, una volta sola: fai l'inventario dei pezzi che non si aggiornano da soli. Nome, dove l'hai comprato, in quale account sta la licenza, quando scade. Su un negozio medio sono tra i tre e i dieci. Il giorno in cui esce un allarme, quella lista è la differenza tra dieci minuti e un pomeriggio di telefonate.
Le alternative gratuite, verificate oggi
La domanda che arriva subito dopo è sempre „va bene, e allora cosa metto al suo posto?“. Prima di rispondere abbiamo guardato lo stato reale del registro pubblico, invece di consigliare a memoria: il 7 agosto 2026 abbiamo interrogato l'API di WordPress.org sulle sigle più comuni dei plugin di accesso social.
| Plugin | Stato nel registro | Ultima versione |
|---|---|---|
| WooCommerce – Social Login (WPWeb) | Non presente: è a pagamento, su marketplace | 2.8.8, del 27 luglio 2026 |
| Nextend Social Login and Register | Attivo | 3.1.26, aggiornato il 28 luglio 2026 |
| miniOrange Social Login and Register | Attivo | 7.8.1, aggiornato il 22 luglio 2026 |
| Social Login (oa-social-login) | Attivo, ma fermo | 5.10.0, aggiornato il 2 dicembre 2024 |
| Super Socializer | Chiuso il 18 giugno 2026, „chiusura temporanea, in attesa di revisione completa“ | — |
| Wp social (facebook, google, twitter) | Chiuso il 25 settembre 2019, motivo: violazione di licenza o marchio | — |
| social-login | Chiuso il 6 giugno 2018, motivo: inutilizzato | — |
Fonte: API pubblica api.wordpress.org/plugins/info/1.0/<sigla>.json, interrogata dal nostro server il 7 agosto 2026. I motivi di chiusura sono riportati testualmente dalla risposta dell'API, tradotti. Non stiamo dicendo che i plugin chiusi fossero insicuri: il registro non lo dichiara, e le chiusure avvengono anche per ragioni amministrative.
Due cose saltano all'occhio. La prima è che il mercato dell'accesso social è molto più sottile di quanto sembri: tre delle sigle storiche sono chiuse. La seconda è la riga di oa-social-login: risulta attivo, ma l'ultima versione è di dicembre 2024 ed è dichiarato compatibile con WordPress 6.7.6, quando il nucleo è alla 7.0.3. Vent'anni di mestiere si riassumono in una regola: guarda la data dell'ultimo aggiornamento prima di guardare le stelle.
La terza opzione, la meno di moda, è togliere del tutto l'accesso social. Su un negozio piccolo porta pochissimi vantaggi e aggiunge una dipendenza da tre aziende diverse per la cosa più delicata del sito. Non è una regola: è una domanda che vale la pena di farsi quando guardi quanti clienti lo usano davvero.
La stessa settimana: WordPress 7.0.3
Il 6 agosto è uscito WordPress 7.0.3, una versione di sicurezza che corregge dodici vulnerabilità. La principale è valutata 8,9 su 10 ed è descritta così nel bollettino: „WordPress is vulnerable to a pre-auth reflected XSS vulnerability on the login screen“, con la possibilità, in condizioni particolari, di arrivare all'esecuzione di codice. La correzione è stata riportata indietro fino alla versione 4.7.
Mettiamo le due notizie una accanto all'altra perché insieme dicono una cosa sola.
| WordPress 7.0.3 | Social Login 2.8.8 | |
|---|---|---|
| Gravità | 8,9 | 9,8 |
| Uscita | 6 agosto 2026 | 27 luglio 2026 |
| Come arriva al tuo sito | Da sola, nel giro di ore | Solo se vai a prenderla |
| Cosa devi fare | Controllare che sia arrivata | Tutto |
Fonti: annuncio ufficiale di WordPress 7.0.3 e la relativa copertura di Search Engine Journal del 6 agosto 2026, più l'avviso CVE-2026-8457 già citato.
La falla più grave delle due è quella che il tuo sito non ripara da solo. Non è un caso: è la regola. Il nucleo di WordPress ha una macchina di distribuzione degli aggiornamenti costruita in quindici anni. Un plugin da 39 dollari ha te.
Le parole, in una tabella
| Termine | Cosa vuol dire |
|---|---|
| CVE | Il codice universale di una vulnerabilità. Serve perché tutti parlino della stessa cosa. |
| CVSS | Il punteggio di gravità da 0 a 10. Sopra 9 significa che si sfrutta da remoto e senza requisiti. |
| Aggiramento dell'autenticazione | Entrare senza avere le credenziali, non indovinandole. |
| Token (di identità) | Il tagliando firmato con cui un fornitore come Apple garantisce chi sei. |
| Firma digitale | La parte del tagliando che dimostra che l'ha emesso davvero chi dice. Va verificata, altrimenti non serve a niente. |
| Sessione | Il fatto di essere „entrato“. Vive in un cookie e resta valida finché non la chiudi o non scade. |
| Salt / chiavi di firma | Le stringhe segrete del sito con cui i cookie di accesso vengono firmati. Cambiarle butta fuori tutti. |
Dove ti trovi, in tre soglie
Se non hai questo plugin, hai finito in cinque minuti e hai guadagnato una domanda utile: quali altri pezzi del mio sito non si aggiornano da soli? Falla stasera, mentre ci pensi.
Se ce l'hai in versione 2.8.8 o superiore, sei a posto sulla falla. Vale comunque il giro di controllo sugli utenti amministratori: se il plugin ha vissuto per un po' in versione vecchia, non sai chi è passato.
Se ce l'hai in una versione fino alla 2.8.7, quella è la cosa più importante della tua serata. Aggiorna o disattiva, poi controlla gli amministratori, poi chiudi tutte le sessioni. In quest'ordine, perché chiudere le sessioni con la porta ancora aperta non serve a niente.
E se ti stai chiedendo se il tuo negozio ha altri pezzi nella stessa situazione, la risposta quasi sempre è sì. Fare quell'inventario è il primo giorno di ogni sito che prendiamo in hosting gestito: non è il lavoro più entusiasmante del mestiere, ma è quello che evita le serate come questa.
Domande
Domande che nessuno ci ha ancora fatto
L'avviso è di pochi giorni fa, quindi no, non ce le ha fatte ancora nessuno. Sono le domande che vengono a chi ha un negozio online e legge una notizia del genere di sera, sul telefono.
Come faccio a sapere in due minuti se sono a rischio?
Entra nel pannello di WordPress, vai su Plugin, cerca „social“. Se compare un plugin chiamato Social Login con autore WPWeb, guarda la versione: 2.8.7 o inferiore significa esposto, 2.8.8 o superiore significa corretto.
Se quel plugin non c'è, questa falla non ti riguarda. Ce ne sono altri con nomi simili di autori diversi: non sono coinvolti.
Ho il plugin ma non uso l'accesso con Apple. Sono al sicuro?
Non contarci. La descrizione pubblica della falla parla del gestore dell'accesso con Apple dentro il plugin, non di un'impostazione attivata nel pannello. Codice presente e attivo è codice raggiungibile.
Trattalo come esposto: aggiorna, oppure disattiva il plugin finché non puoi aggiornare.
Il mio hosting non dice niente. Vuol dire che sto bene?
Vuol dire che l'hosting non ha visibilità su quel plugin, ed è normale: non sta nel registro pubblico, quindi gli strumenti che confrontano le versioni installate con quel registro non lo vedono passare.
Alcuni servizi di sicurezza a pagamento hanno database di vulnerabilità propri e lo intercettano. La maggior parte dei pannelli di hosting condiviso, no.
Aggiornare può rompere il negozio?
È un aggiornamento di manutenzione, quindi il rischio è basso, ma il rischio zero non esiste su nessun sito con personalizzazioni. Fai una copia prima, aggiorna, e poi prova subito le due cose che contano: che si riesca ad accedere e che si riesca a completare un ordine.
Se hai un ambiente di prova, provalo lì. Se non ce l'hai, fallo in un momento di traffico basso — per un negozio italiano, la mattina presto.
Ho perso il codice d'acquisto del plugin. Cosa faccio?
Il codice sta nell'account del marketplace di chi l'ha comprato: spesso non tu, ma l'agenzia o lo sviluppatore che ha costruito il sito. Chiediglielo, e chiedi che venga intestato a un account tuo.
Se quella strada è chiusa, l'unica opzione onesta è disattivare il plugin e sostituirlo con uno mantenuto. Ricomprare a 39 dollari è comunque più economico di un sito compromesso.
L'accesso con i social conviene ancora, su un negozio piccolo?
Dipende da quanti lo usano davvero, e quel numero ce l'hai: guarda quanti dei tuoi clienti registrati sono arrivati da un provider social. Se sono una manciata, stai mantenendo tre dipendenze esterne per pochissimo.
Su un negozio con molti clienti che tornano, invece, riduce l'attrito in modo misurabile. La risposta non è ideologica: sta nei tuoi numeri.
Come faccio a non ritrovarmi nella stessa situazione tra sei mesi?
Una lista, aggiornata una volta l'anno: ogni plugin e tema comprato fuori dal registro di WordPress.org, dove sta la licenza, in quale account, quando scade. Sono venti minuti la prima volta.
Poi un appuntamento mensile di dieci minuti per controllare a mano gli aggiornamenti di quei pochi pezzi. È noioso e funziona.
Un firewall davanti al sito mi avrebbe protetto?
Forse, e non è una risposta soddisfacente. Alcuni servizi pubblicano regole specifiche subito dopo l'annuncio di una falla nota, e in quel caso la richiesta viene fermata prima di arrivare al sito. Ma la protezione arriva quando la falla è già pubblica, cioè dopo la finestra più pericolosa.
Un firewall è una buona seconda porta. Non è un sostituto dell'aggiornamento, ed è utile anche per un motivo diverso: quello che decidi alla porta d'ingresso ha effetti anche su chi vuoi far entrare.
Il plugin è disattivato ma installato. Devo fare qualcosa?
Un plugin disattivato non esegue il proprio codice, quindi per questa falla non è sfruttabile. Ma nessuno si ricorda perché era lì, e prima o poi qualcuno lo riattiva „per provare“.
Cancellalo. Se un giorno servirà, lo reinstalli nella versione corrente, che è comunque quello che vorresti.
Quanto tempo ho prima che qualcuno ci provi davvero?
Per le falle con questo profilo — sfruttabili dalla rete, senza credenziali, su una piattaforma diffusa — le scansioni automatiche partono nei giorni successivi all'annuncio pubblico. Non c'è bisogno che qualcuno abbia deciso di prendersela con te: i robot provano tutti gli indirizzi che trovano.
Quindi la risposta pratica è: la finestra tranquilla è già finita il 1° agosto. Non è un motivo per farsi prendere dal panico, è un motivo per fare il controllo stasera invece che nel fine settimana.
Ultimo aggiornamento: 7 agosto 2026. La descrizione tecnica e il punteggio di gravità provengono dall'avviso CVE-2026-8457 pubblicato il 2 agosto 2026 nel GitHub Advisory Database, letto in pari data; la copertura giornalistica è l'articolo di Roger Montti su Search Engine Journal del 3 agosto. Versione, data di rilascio, changelog, numero di vendite e prezzo del plugin sono stati verificati da noi sulla scheda pubblica del prodotto il 7 agosto 2026. Lo stato dei plugin alternativi viene dall'API pubblica di WordPress.org, interrogata dal nostro server lo stesso giorno. Aggiorniamo la pagina se esce una versione successiva alla 2.8.8 o se l'avviso viene modificato.
