{
    "title": "Vulnerabilità critica in Avada Builder: aggiorna alla 3.16.2",
    "seo_title": "CVE-2026-97670: falla senza account in Avada Builder",
    "h1": "Vulnerabilità critica in Avada Builder: aggiorna alla 3.16.2",
    "description": "CVE-2026-97670 (9,1): un modulo Avada permette a un anonimo di avviare azioni WordPress. Versioni interessate, verifiche e patch 3.16.2.",
    "lead": "Il 9 ottobre 2026 Wordfence ha pubblicato una vulnerabilità critica in Avada Builder: tramite un modulo, un visitatore senza account può far eseguire azioni di WordPress, fino a svuotare il cestino. La patch è in Avada 7.16.2 e Avada Builder 3.16.2.",
    "language": "it",
    "locale": "it-IT",
    "type": "article",
    "url": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/",
    "canonical": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/",
    "markdown": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/index.md",
    "json": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/index.json",
    "published": "2026-10-19T09:00:00+00:00",
    "modified": "2026-10-29T07:36:48+00:00",
    "site": {
        "name": "WP Masquerade",
        "url": "https://www.wp-masquerade.com/it/"
    },
    "translations": [
        {
            "language": "it",
            "hreflang": "it-IT",
            "title": "Vulnerabilità critica in Avada Builder: aggiorna alla 3.16.2",
            "url": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/it/vulnerabilita-avada-builder-cve-2026-97670/index.json"
        },
        {
            "language": "fr",
            "hreflang": "fr-FR",
            "title": "Faille critique dans Avada Builder : mettez à jour en 3.16.2",
            "url": "https://www.wp-masquerade.com/fr/faille-avada-builder-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/fr/faille-avada-builder-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/fr/faille-avada-builder-cve-2026-97670/index.json"
        },
        {
            "language": "en",
            "hreflang": "en-US",
            "title": "Critical Avada Builder vulnerability: update to 3.16.2 now",
            "url": "https://www.wp-masquerade.com/avada-builder-vulnerability-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/avada-builder-vulnerability-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/avada-builder-vulnerability-cve-2026-97670/index.json"
        },
        {
            "language": "es",
            "hreflang": "es-ES",
            "title": "Vulnerabilidad crítica en Avada Builder: actualiza a la 3.16.2",
            "url": "https://www.wp-masquerade.com/es/vulnerabilidad-avada-builder-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/es/vulnerabilidad-avada-builder-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/es/vulnerabilidad-avada-builder-cve-2026-97670/index.json"
        },
        {
            "language": "de",
            "hreflang": "de-DE",
            "title": "Kritische Sicherheitslücke in Avada Builder: Patch 3.16.2 einspielen",
            "url": "https://www.wp-masquerade.com/de/avada-builder-sicherheitsluecke-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/de/avada-builder-sicherheitsluecke-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/de/avada-builder-sicherheitsluecke-cve-2026-97670/index.json"
        },
        {
            "language": "pt",
            "hreflang": "pt-BR",
            "title": "Falha crítica no Avada Builder: atualize para a 3.16.2",
            "url": "https://www.wp-masquerade.com/pt/falha-avada-builder-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/pt/falha-avada-builder-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/pt/falha-avada-builder-cve-2026-97670/index.json"
        },
        {
            "language": "nl",
            "hreflang": "nl-NL",
            "title": "Kritieke kwetsbaarheid in Avada Builder: patch 3.16.2 nu installeren",
            "url": "https://www.wp-masquerade.com/nl/kwetsbaarheid-avada-builder-cve-2026-97670/",
            "markdown": "https://www.wp-masquerade.com/nl/kwetsbaarheid-avada-builder-cve-2026-97670/index.md",
            "json": "https://www.wp-masquerade.com/nl/kwetsbaarheid-avada-builder-cve-2026-97670/index.json"
        }
    ],
    "headings": [
        {
            "level": 1,
            "text": "Vulnerabilità critica in Avada Builder: aggiorna alla 3.16.2"
        },
        {
            "level": 2,
            "text": "Cosa è successo"
        },
        {
            "level": 2,
            "text": "Chi è interessato"
        },
        {
            "level": 2,
            "text": "Come funziona la vulnerabilità"
        },
        {
            "level": 2,
            "text": "Indicatori di compromissione e verifiche"
        },
        {
            "level": 2,
            "text": "Cosa fare adesso"
        },
        {
            "level": 2,
            "text": "Ridurre l’esposizione la prossima volta"
        },
        {
            "level": 3,
            "text": "Da ricordare"
        },
        {
            "level": 2,
            "text": "Fonti"
        },
        {
            "level": 2,
            "text": "Sicurezza WordPress, senza rumore",
            "id": "wpm-nl-box-title"
        }
    ],
    "body": "Il 9 ottobre 2026 Wordfence ha reso pubblica una vulnerabilità critica ([CVSS](https://www.wp-masquerade.com/it/glossario/punteggio-cvss/) 9,1) in Avada Builder, il plugin fornito con il tema Avada: un visitatore senza account può, attraverso un modulo Avada, far eseguire a WordPress azioni a sua scelta, fino alla cancellazione definitiva dei contenuti presenti nel cestino. La patch esiste dal 30 settembre (Avada 7.16.2 e Avada Builder 3.16.2): ogni sito Avada che mostra un modulo deve controllare la propria versione oggi stesso. Qui trovi la sequenza dei fatti, le condizioni di sfruttamento, i comandi di verifica e cosa fare.\n\n## Cosa è successo\n\nSecondo la cronologia della scheda CVE, pubblicata da Wordfence in qualità di autorità di assegnazione, ThemeFusion, l’editore di Avada, è stato avvisato il 24 settembre 2026 alle 22:44 (ora di Parigi). La vulnerabilità è attribuita alla ricercatrice Chloe Chamberland e ad Argus, lo strumento di analisi automatizzata di Wordfence.\n\nSei giorni dopo, il 30 settembre, ThemeFusion pubblica Avada 7.16.2, presentato come un aggiornamento di sicurezza che corregge sei problemi, tra cui una «possibile [XSS](https://www.wp-masquerade.com/it/glossario/vulnerabilita-xss/) e iniezione negli invii dei moduli Avada e nelle e-mail di notifica». L’editore ringrazia Wordfence e Patchstack, senza citare alcun numero di CVE. Avada Builder passa alla 3.16.2 nella stessa release.\n\nWordfence pubblica il suo avviso il 9 ottobre alle 17:52. La scheda CVE-2026-97670 compare il 10 ottobre alle 6:26, poi nel database NVD 50 minuti dopo. L’11 ottobre l’analisi aggiunta dalla CISA classifica la vulnerabilità così: sfruttamento «nessuno», automatizzabile «sì». Il 13 ottobre Wordfence pubblica una seconda vulnerabilità senza account nello stesso componente (CVE-2026-97471), corretta dalla stessa versione.\n\n![Cronologia di CVE-2026-97670 in ora di Parigi: 24 settembre 2026 alle 22:44, Wordfence avvisa ThemeFusion; 30 settembre, uscita di Avada 7.16.2 e Avada Builder 3.16.2 con sei correzioni di sicurezza; 9 ottobre alle 17:52, Wordfence pubblica la vulnerabilità, critica, CVSS 9,1, senza account; 10 ottobre alle 6:26, pubblicazione della CVE, ripresa dal NVD 50 minuti dopo; 11 ottobre, la CISA indica nessuno sfruttamento e un attacco automatizzabile; 13 ottobre, pubblicazione di CVE-2026-97471, fuga di dati senza account, corretta anch’essa nella 3.16.2.](https://www.wp-masquerade.com/media/2026/10/deroule-avada-builder-it.webp)\n\n*La patch è uscita nove giorni prima della pubblicazione della vulnerabilità: i siti aggiornati al 30 settembre erano protetti prima dell’annuncio.*\n\n## Chi è interessato\n\nAvada Builder (slug `fusion-builder`) è un plugin richiesto dal tema Avada: è presente su tutti i siti Avada. Trattandosi di un prodotto commerciale, wordpress.org non pubblica alcun numero di installazioni; a maggio 2026 BleepingComputer stimava la base in circa un milione di installazioni attive. Un sito è esposto se sono riunite le seguenti condizioni:\n\n- Avada Builder in versione 3.16.1 o precedente;\n- almeno un modulo Avada pubblicato, con tipo di invio AJAX;\n- una notifica e-mail il cui messaggio contiene il tag `[all_fields]` o il tag di un campo, che Wordfence descrive come la configurazione predefinita. La documentazione di Avada precisa del resto che un messaggio lasciato vuoto invia «il messaggio predefinito con tutti i campi del modulo».\n\nNon serve alcun account e nessun amministratore deve cliccare su nulla. Nota sulle versioni: la scheda CVE indica «fino alla 7.16.1», cioè il numero del tema, mentre la sua stessa descrizione parla del controllo presente nella versione 3.16.1 del Builder. Patchstack, come i dati di Wordfence, indica Avada Builder 3.16.1 e precedenti.\n\n| CVE | Prodotto | Corretta in | CVSS | Account richiesto | Pubblicata |\n| --- | --- | --- | --- | --- | --- |\n| CVE-2026-97670 | Avada Builder | 3.16.2 | 9,1 (critica) | Nessuno | 9 ottobre 2026 |\n| CVE-2026-97471 | Avada Builder | 3.16.2 | 5,3 (media) | Nessuno | 13 ottobre 2026 |\n| CVE-2026-97340 | Tema Avada | 7.16.2 | 6,4 (media) | Sottoscrittore | 9 ottobre 2026 |\n| CVE-2026-84925 | Tema Avada | 7.16.2 | 6,1 (media) | Nessuno (clic della vittima) | 1° ottobre 2026 |\n\n*Le vulnerabilità di Avada corrette dalla release del 30 settembre e pubblicate da allora; punteggi di Wordfence, autorità di assegnazione delle quattro CVE.*\n\nCVE-2026-97471 permette di leggere senza account metadati degli utenti (indirizzo e-mail degli amministratori, nomi utente, dati dei clienti WooCommerce) tramite l’elemento Instagram. CVE-2026-97340 è una XSS memorizzata da parte di un semplice Sottoscrittore tramite i campi del profilo, CVE-2026-84925 una XSS riflessa tramite il parametro `lang`.\n\n## Come funziona la vulnerabilità\n\nAvada Builder offre i «dati dinamici»: token inseriti nel contenuto e sostituiti al momento della visualizzazione con un valore (un titolo, un metadato...). Uno di questi, `{action_hook,...}`, attiva un’azione di WordPress, cioè un punto di aggancio (hook) a cui WordPress e i plugin collegano le proprie elaborazioni. Un amministratore può usarlo legittimamente in un layout; un visitatore non dovrebbe mai poterlo fare.\n\nIl problema nasce nelle notifiche dei moduli. Quando un visitatore invia il modulo, il messaggio di notifica inserisce il contenuto dei campi tramite `[all_fields]` o il tag del campo, poi il testo ottenuto passa per il motore dei dati dinamici. Un token digitato in un campo viene quindi interpretato come se provenisse dall’amministratore. Secondo Wordfence, la protezione della versione 3.16.1 (la funzione `is_content_request_supplied()`) controllava solo i parametri `args` della richiesta, mai i dati del modulo (`formData`) letti dall’endpoint pubblico di invio. Risultato: un anonimo sceglie il nome dell’azione eseguita e può attivarne diverse per richiesta.\n\n![Schema in sei passaggi: un visitatore senza account compila un modulo Avada; inserisce un token action_hook in un campo; la notifica e-mail inserisce i campi tramite il tag all_fields; il motore dei dati dinamici interpreta il token perché il controllo non verifica i dati del modulo; WordPress esegue l’azione richiesta, diverse per richiesta; conseguenza, cestino svuotato da wp_scheduled_delete o sito disturbato da wp_maybe_auto_update.](https://www.wp-masquerade.com/media/2026/10/mecanisme-avada-builder-it.webp)\n\n*Il percorso di attacco descritto da Wordfence: è l’inserimento dei campi nell’e-mail di notifica ad aprire la porta.*\n\nLe conseguenze descritte da Wordfence:\n\n- **distruzione di contenuti**: una richiesta anonima ha eliminato definitivamente articoli, pagine e commenti del cestino richiamando `wp_scheduled_delete`, l’attività di WordPress che svuota il cestino;\n- **negazione del servizio**: altre azioni non bloccate, come `wp_maybe_auto_update`, possono disturbare il sito;\n- **scritture con privilegi** se un altro plugin installato collega un’elaborazione vulnerabile a un’azione;\n- **lettura «alla cieca»** di metadati degli utenti o di contenuti: il risultato finisce nell’e-mail ricevuta dal proprietario del sito e l’attaccante non può recuperarlo attraverso i canali del plugin.\n\nNon si tratta quindi di un’esecuzione di codice PHP arbitrario, a differenza di CVE-2026-18431 corretta a fine agosto nella 3.16.1: il punteggio 9,1 deriva da un impatto elevato su integrità e disponibilità, senza fuga di dati diretta. Dr. Web la conta come la quinta vulnerabilità senza account del Builder pubblicata da maggio; [lo storico completo delle vulnerabilità di Avada](https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-tema-avada/) descrive le precedenti.\n\n## Indicatori di compromissione e verifiche\n\nAlla data di questo articolo nessuna fonte riconosciuta documenta uno sfruttamento: la CISA indicava «nessuno» l’11 ottobre, la vulnerabilità non figura nel suo catalogo KEV e, secondo Dr. Web, né Wordfence né la CISA segnalavano attacchi al 12 ottobre. Né Wordfence né ThemeFusion hanno pubblicato indicatori di compromissione. I controlli qui sotto sono quindi verifiche di buon senso, non un elenco ufficiale.\n\nComincia dalle versioni installate:\n\n```\nwp theme list --fields=name,version,status\nwp plugin list --fields=name,version,status\nwp plugin get fusion-builder --field=version\n```\n\nDevi leggere 3.16.2 o superiore per `fusion-builder` e 7.16.2 o superiore per il tema. Il comando `wp plugin verify-checksums` qui non funziona: Avada Builder non è distribuito su wordpress.org. Poi:\n\n- **Il cestino**: conta il suo contenuto con `wp post list --post_type=any --post_status=trash --format=count` e `wp comment list --status=trash --format=count`. Un cestino vuoto quando invece conteneva elementi recenti merita un confronto con il tuo ultimo backup (WordPress lo svuota anche da solo, per impostazione predefinita dopo 30 giorni).\n- **Le e-mail di notifica e le voci dei moduli**: un campo che contiene `{action_hook` o altri token tra parentesi graffe segnala un tentativo.\n- **I log del server**: una raffica di richieste POST verso `/wp-admin/admin-ajax.php` provenienti da pagine con moduli, a un’ora in cui di solito non ricevi nulla.\n- **Gli account**: `wp user list --role=administrator`, nel caso in cui un altro plugin abbia consentito una scrittura privilegiata.\n- **I file**, soprattutto se il sito usava ancora il Builder 3.16 o precedente al momento della vulnerabilità di agosto: `wp core verify-checksums` e `find wp-content -name \"*.php\" -mtime -30` per i file PHP modificati negli ultimi 30 giorni.\n\n## Cosa fare adesso\n\n- **Aggiorna Avada alla 7.16.2 e Avada Builder alla 3.16.2**, entrambi insieme. Secondo la documentazione di Avada, la registrazione con il codice di acquisto è necessaria per ricevere gli aggiornamenti; Dr. Web ricorda che solo le installazioni registrate ricevono l’aggiornamento automatico. Un sito non registrato va aggiornato a mano.\n- **Se non puoi aggiornare subito**, Dr. Web consiglia di togliere i tag dei campi dai messaggi di notifica. Scrivi un testo fisso invece di svuotare il campo, perché un messaggio vuoto riprende tutti i campi per impostazione predefinita. Rimuovere dalla pubblicazione i moduli è l’opzione più sicura.\n- **Se sono spariti dei contenuti**, ripristinali da un backup precedente.\n- **Chiavi e password**: questa vulnerabilità non dà accesso diretto ai segreti del sito. Se però il sito ha girato a lungo con un Builder vecchio, consideralo potenzialmente compromesso: rigenera le chiavi di `wp-config.php` (`wp config shuffle-salts`), cambia le password degli amministratori e revoca le password per le applicazioni, analizza i file e segui la nostra [guida alla pulizia di un sito violato](https://www.wp-masquerade.com/it/ripulire-sito-wordpress-violato/).\n\n## Ridurre l’esposizione la prossima volta\n\n- Attiva gli aggiornamenti automatici delle versioni di sicurezza e, per Avada, mantieni la licenza registrata: senza di essa la patch non arriva.\n- Iscriviti ad avvisi di vulnerabilità e a un servizio di monitoraggio che coprano anche i tuoi prodotti commerciali, e tieni d’occhio gli aggiornamenti in sospeso di tutti i tuoi siti.\n- Limita account e permessi allo stretto necessario (ruoli e privilegio minimo).\n- Conserva backup regolari, fuori dal server e testati: sono l’unico rimedio a una cancellazione definitiva.\n- Un [firewall applicativo](https://www.wp-masquerade.com/it/glossario/waf/) con patch virtuali (WAF e virtual patching) può bloccare questo tipo di richiesta nella finestra tra la pubblicazione e l’aggiornamento.\n\nQuanto a WP Masquerade Pro, siamo chiari su cosa avrebbe fatto qui. Gli [avvisi di vulnerabilità](https://www.wp-masquerade.com/it/funzionalita/avvisi-plugin-vulnerabili/) confrontano ogni giorno le versioni installate dei plugin e dei temi distribuiti su wordpress.org con il database WPVulnerability.net, con un’[e-mail](https://www.wp-masquerade.com/it/funzionalita/avvisi-email/) in caso di riscontro; Avada e Avada Builder non vi sono distribuiti, quindi non vengono controllati e questa vulnerabilità non avrebbe generato alcun avviso. Il [registro delle attività degli amministratori](https://www.wp-masquerade.com/it/funzionalita/registro-attivita-amministratori/) registra creazioni di account, cambi di ruolo e installazioni di plugin, il che farebbe emergere un amministratore inatteso, ma vede solo ciò che passa da WordPress dalla sua attivazione. Il [controllo di integrità](https://www.wp-masquerade.com/it/funzionalita/controllo-integrita-wordpress/) riguarda solo i file del core. L’area membri mostra gli [aggiornamenti in sospeso e i siti vulnerabili](https://www.wp-masquerade.com/it/funzionalita/#surveillance) di tutti i tuoi siti. Lo strumento avvisa: non corregge nulla e non è un firewall.\n\n### Da ricordare\n\n- CVE-2026-97670: vulnerabilità critica (9,1) senza account in Avada Builder 3.16.1 e precedenti, pubblicata da Wordfence il 9 ottobre 2026.\n- Un modulo Avada in AJAX con una notifica che inserisce i campi, la configurazione predefinita, basta per far eseguire azioni di WordPress.\n- Patch: Avada 7.16.2 e Avada Builder 3.16.2, disponibili dal 30 settembre; la licenza deve essere registrata per riceverle.\n- Nessuno sfruttamento documentato al 19 ottobre, ma l’attacco è giudicato automatizzabile.\n- In attesa dell’aggiornamento: togliere i tag dei campi dalle notifiche o rimuovere dalla pubblicazione i moduli.\n\n## Fonti\n\n- CVE: CVE-2026-97670, Avada (Fusion) Builder (10 ottobre 2026) (https://www.cve.org/CVERecord?id=CVE-2026-97670)\n- Avada: Version 7.16.2 Security Update (30 settembre 2026) (https://avada.com/blog/version-7-16-2-security-update/)\n- Avada: How To Set Up Avada Form Notifications (documentazione, 22 giugno 2026) (https://avada.com/documentation/how-to-set-up-form-notifications/)\n- CVE: CVE-2026-97471, Avada (Fusion) Builder (14 ottobre 2026) (https://www.cve.org/CVERecord?id=CVE-2026-97471)\n\nAltre fonti consultate: altre schede CVE, pagine ufficiali dei produttori, articoli della stampa specializzata, database di Wordfence e Patchstack.\n\n## Sicurezza WordPress, senza rumore\n\nUn’email quando conta: nuovi attacchi osservati, aggiornamenti del plugin e guide pratiche. Niente spam, disiscrizione con un clic.",
    "categories": [
        "Temi vulnerabili"
    ],
    "format": "application/json"
}