Vulnerabilità critica in Avada Builder: aggiorna alla 3.16.2

Il 9 ottobre 2026 Wordfence ha reso pubblica una vulnerabilità critica (CVSS 9,1) in Avada Builder, il plugin fornito con il tema Avada: un visitatore senza account può, attraverso un modulo Avada, far eseguire a WordPress azioni a sua scelta, fino alla cancellazione definitiva dei contenuti presenti nel cestino. La patch esiste dal 30 settembre (Avada 7.16.2 e Avada Builder 3.16.2): ogni sito Avada che mostra un modulo deve controllare la propria versione oggi stesso. Qui trovi la sequenza dei fatti, le condizioni di sfruttamento, i comandi di verifica e cosa fare.

Cosa è successo

Secondo la cronologia della scheda CVE, pubblicata da Wordfence in qualità di autorità di assegnazione, ThemeFusion, l’editore di Avada, è stato avvisato il 24 settembre 2026 alle 22:44 (ora di Parigi). La vulnerabilità è attribuita alla ricercatrice Chloe Chamberland e ad Argus, lo strumento di analisi automatizzata di Wordfence.

Sei giorni dopo, il 30 settembre, ThemeFusion pubblica Avada 7.16.2, presentato come un aggiornamento di sicurezza che corregge sei problemi, tra cui una «possibile XSS e iniezione negli invii dei moduli Avada e nelle e-mail di notifica». L’editore ringrazia Wordfence e Patchstack, senza citare alcun numero di CVE. Avada Builder passa alla 3.16.2 nella stessa release.

Wordfence pubblica il suo avviso il 9 ottobre alle 17:52. La scheda CVE-2026-97670 compare il 10 ottobre alle 6:26, poi nel database NVD 50 minuti dopo. L’11 ottobre l’analisi aggiunta dalla CISA classifica la vulnerabilità così: sfruttamento «nessuno», automatizzabile «sì». Il 13 ottobre Wordfence pubblica una seconda vulnerabilità senza account nello stesso componente (CVE-2026-97471), corretta dalla stessa versione.

Chi è interessato

Avada Builder (slug fusion-builder) è un plugin richiesto dal tema Avada: è presente su tutti i siti Avada. Trattandosi di un prodotto commerciale, wordpress.org non pubblica alcun numero di installazioni; a maggio 2026 BleepingComputer stimava la base in circa un milione di installazioni attive. Un sito è esposto se sono riunite le seguenti condizioni:

• Avada Builder in versione 3.16.1 o precedente;
• almeno un modulo Avada pubblicato, con tipo di invio AJAX;
• una notifica e-mail il cui messaggio contiene il tag [all_fields] o il tag di un campo, che Wordfence descrive come la configurazione predefinita. La documentazione di Avada precisa del resto che un messaggio lasciato vuoto invia «il messaggio predefinito con tutti i campi del modulo».

Non serve alcun account e nessun amministratore deve cliccare su nulla. Nota sulle versioni: la scheda CVE indica «fino alla 7.16.1», cioè il numero del tema, mentre la sua stessa descrizione parla del controllo presente nella versione 3.16.1 del Builder. Patchstack, come i dati di Wordfence, indica Avada Builder 3.16.1 e precedenti.

CVE	Prodotto	Corretta in	CVSS	Account richiesto	Pubblicata
CVE-2026-97670	Avada Builder	3.16.2	9,1 (critica)	Nessuno	9 ottobre 2026
CVE-2026-97471	Avada Builder	3.16.2	5,3 (media)	Nessuno	13 ottobre 2026
CVE-2026-97340	Tema Avada	7.16.2	6,4 (media)	Sottoscrittore	9 ottobre 2026
CVE-2026-84925	Tema Avada	7.16.2	6,1 (media)	Nessuno (clic della vittima)	1° ottobre 2026

CVE-2026-97471 permette di leggere senza account metadati degli utenti (indirizzo e-mail degli amministratori, nomi utente, dati dei clienti WooCommerce) tramite l’elemento Instagram. CVE-2026-97340 è una XSS memorizzata da parte di un semplice Sottoscrittore tramite i campi del profilo, CVE-2026-84925 una XSS riflessa tramite il parametro lang.

Come funziona la vulnerabilità

Avada Builder offre i «dati dinamici»: token inseriti nel contenuto e sostituiti al momento della visualizzazione con un valore (un titolo, un metadato...). Uno di questi, {action_hook,...}, attiva un’azione di WordPress, cioè un punto di aggancio (hook) a cui WordPress e i plugin collegano le proprie elaborazioni. Un amministratore può usarlo legittimamente in un layout; un visitatore non dovrebbe mai poterlo fare.

Il problema nasce nelle notifiche dei moduli. Quando un visitatore invia il modulo, il messaggio di notifica inserisce il contenuto dei campi tramite [all_fields] o il tag del campo, poi il testo ottenuto passa per il motore dei dati dinamici. Un token digitato in un campo viene quindi interpretato come se provenisse dall’amministratore. Secondo Wordfence, la protezione della versione 3.16.1 (la funzione is_content_request_supplied()) controllava solo i parametri args della richiesta, mai i dati del modulo (formData) letti dall’endpoint pubblico di invio. Risultato: un anonimo sceglie il nome dell’azione eseguita e può attivarne diverse per richiesta.

Le conseguenze descritte da Wordfence:

• distruzione di contenuti: una richiesta anonima ha eliminato definitivamente articoli, pagine e commenti del cestino richiamando wp_scheduled_delete, l’attività di WordPress che svuota il cestino;
• negazione del servizio: altre azioni non bloccate, come wp_maybe_auto_update, possono disturbare il sito;
• scritture con privilegi se un altro plugin installato collega un’elaborazione vulnerabile a un’azione;
• lettura «alla cieca» di metadati degli utenti o di contenuti: il risultato finisce nell’e-mail ricevuta dal proprietario del sito e l’attaccante non può recuperarlo attraverso i canali del plugin.

Non si tratta quindi di un’esecuzione di codice PHP arbitrario, a differenza di CVE-2026-18431 corretta a fine agosto nella 3.16.1: il punteggio 9,1 deriva da un impatto elevato su integrità e disponibilità, senza fuga di dati diretta. Dr. Web la conta come la quinta vulnerabilità senza account del Builder pubblicata da maggio; lo storico completo delle vulnerabilità di Avada descrive le precedenti.

Indicatori di compromissione e verifiche

Alla data di questo articolo nessuna fonte riconosciuta documenta uno sfruttamento: la CISA indicava «nessuno» l’11 ottobre, la vulnerabilità non figura nel suo catalogo KEV e, secondo Dr. Web, né Wordfence né la CISA segnalavano attacchi al 12 ottobre. Né Wordfence né ThemeFusion hanno pubblicato indicatori di compromissione. I controlli qui sotto sono quindi verifiche di buon senso, non un elenco ufficiale.

Comincia dalle versioni installate:

wp theme list --fields=name,version,status
wp plugin list --fields=name,version,status
wp plugin get fusion-builder --field=version

Devi leggere 3.16.2 o superiore per fusion-builder e 7.16.2 o superiore per il tema. Il comando wp plugin verify-checksums qui non funziona: Avada Builder non è distribuito su wordpress.org. Poi:

• Il cestino: conta il suo contenuto con wp post list --post_type=any --post_status=trash --format=count e wp comment list --status=trash --format=count. Un cestino vuoto quando invece conteneva elementi recenti merita un confronto con il tuo ultimo backup (WordPress lo svuota anche da solo, per impostazione predefinita dopo 30 giorni).
• Le e-mail di notifica e le voci dei moduli: un campo che contiene {action_hook o altri token tra parentesi graffe segnala un tentativo.
• I log del server: una raffica di richieste POST verso /wp-admin/admin-ajax.php provenienti da pagine con moduli, a un’ora in cui di solito non ricevi nulla.
• Gli account: wp user list --role=administrator, nel caso in cui un altro plugin abbia consentito una scrittura privilegiata.
• I file, soprattutto se il sito usava ancora il Builder 3.16 o precedente al momento della vulnerabilità di agosto: wp core verify-checksums e find wp-content -name "*.php" -mtime -30 per i file PHP modificati negli ultimi 30 giorni.

Cosa fare adesso

• Aggiorna Avada alla 7.16.2 e Avada Builder alla 3.16.2, entrambi insieme. Secondo la documentazione di Avada, la registrazione con il codice di acquisto è necessaria per ricevere gli aggiornamenti; Dr. Web ricorda che solo le installazioni registrate ricevono l’aggiornamento automatico. Un sito non registrato va aggiornato a mano.
• Se non puoi aggiornare subito, Dr. Web consiglia di togliere i tag dei campi dai messaggi di notifica. Scrivi un testo fisso invece di svuotare il campo, perché un messaggio vuoto riprende tutti i campi per impostazione predefinita. Rimuovere dalla pubblicazione i moduli è l’opzione più sicura.
• Se sono spariti dei contenuti, ripristinali da un backup precedente.
• Chiavi e password: questa vulnerabilità non dà accesso diretto ai segreti del sito. Se però il sito ha girato a lungo con un Builder vecchio, consideralo potenzialmente compromesso: rigenera le chiavi di wp-config.php (wp config shuffle-salts), cambia le password degli amministratori e revoca le password per le applicazioni, analizza i file e segui la nostra guida alla pulizia di un sito violato.

Ridurre l’esposizione la prossima volta

• Attiva gli aggiornamenti automatici delle versioni di sicurezza e, per Avada, mantieni la licenza registrata: senza di essa la patch non arriva.
• Iscriviti ad avvisi di vulnerabilità e a un servizio di monitoraggio che coprano anche i tuoi prodotti commerciali, e tieni d’occhio gli aggiornamenti in sospeso di tutti i tuoi siti.
• Limita account e permessi allo stretto necessario (ruoli e privilegio minimo).
• Conserva backup regolari, fuori dal server e testati: sono l’unico rimedio a una cancellazione definitiva.
• Un firewall applicativo con patch virtuali (WAF e virtual patching) può bloccare questo tipo di richiesta nella finestra tra la pubblicazione e l’aggiornamento.

Quanto a WP Masquerade Pro, siamo chiari su cosa avrebbe fatto qui. Gli avvisi di vulnerabilità confrontano ogni giorno le versioni installate dei plugin e dei temi distribuiti su wordpress.org con il database WPVulnerability.net, con un’e-mail in caso di riscontro; Avada e Avada Builder non vi sono distribuiti, quindi non vengono controllati e questa vulnerabilità non avrebbe generato alcun avviso. Il registro delle attività degli amministratori registra creazioni di account, cambi di ruolo e installazioni di plugin, il che farebbe emergere un amministratore inatteso, ma vede solo ciò che passa da WordPress dalla sua attivazione. Il controllo di integrità riguarda solo i file del core. L’area membri mostra gli aggiornamenti in sospeso e i siti vulnerabili di tutti i tuoi siti. Lo strumento avvisa: non corregge nulla e non è un firewall.

Fonti

• CVE: CVE-2026-97670, Avada (Fusion) Builder (10 ottobre 2026) (link esterno, si apre in una nuova scheda)
• Avada: Version 7.16.2 Security Update (30 settembre 2026) (link esterno, si apre in una nuova scheda)
• Avada: How To Set Up Avada Form Notifications (documentazione, 22 giugno 2026) (link esterno, si apre in una nuova scheda)
• CVE: CVE-2026-97471, Avada (Fusion) Builder (14 ottobre 2026) (link esterno, si apre in una nuova scheda)

Altre fonti consultate: altre schede CVE, pagine ufficiali dei produttori, articoli della stampa specializzata, database di Wordfence e Patchstack.