Hai aggiornato WordPress alla 7.1.4? La falla Brotli resta aperta lo stesso: cosa chiedere all'hosting

La falla Brotli su WordPress (CVE-2026-111497) è un errore nella libreria di compressione Brotli installata sul server, non nel codice di WordPress. Secondo Patchstack, un pingback inviato a xmlrpc.php senza login basta a far scaricare al sito una risposta compressa costruita apposta. Aggiornare WordPress alla 7.1.4 non la chiude: serve la versione corretta della libreria, che installa chi gestisce il server, cioè l'hosting.

Fra il 27 ottobre e il 3 novembre 2026 la CISA, l'agenzia statunitense per la sicurezza informatica, ha aggiunto al suo catalogo delle falle già sfruttate due problemi che toccano i siti WordPress. Il primo si corregge dalla bacheca, il secondo no, e proprio per questo nei siti che seguo, dopo aver controllato la versione di WordPress, in questi giorni chiedo sempre chi ha aggiornato il server.

Cosa è successo, secondo le fonti ufficiali

La prima falla è nel core di WordPress. Il 28 ottobre 2026 è uscita la versione 7.1.4, una release di sicurezza che corregge, fra le altre cose, un rischio di esecuzione di codice durante l'aggiornamento. Il 3 novembre 2026 la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate come CVE-2026-119977: durante l'aggiornamento completo del core WordPress usa percorsi temporanei prevedibili e raggiungibili dal web, e un attaccante senza login può eseguire codice sul server (la scheda tecnica è su Wordfence). WordPress ha portato le correzioni su tutti i rami ancora supportati per la sicurezza, fino alla 4.7.

La seconda è in Brotli, la libreria di Google che comprime e decomprime i dati scambiati fra server. Il 21 ottobre 2026 Google ha pubblicato la versione 1.2.1, che corregge la CVE-2026-111497; secondo Patchstack sono colpite le versioni dalla 1.0.3 alla 1.2.0, corrette anche nelle 1.0.10 e 1.1.1. Per la CISA, che l'ha messa nel catalogo il 27 ottobre 2026, un attaccante non autenticato può corrompere la memoria, leggere dati, bloccare il servizio o forse eseguire codice.

Perché la falla Brotli su WordPress non si chiude dalla bacheca

Il 30 ottobre 2026 Patchstack ha spiegato il collegamento. WordPress non contiene Brotli: quando scarica qualcosa da un altro sito usa cURL, che a sua volta usa la libreria del sistema operativo del server. Un sito con le impostazioni predefinite accetta i pingback (le notifiche che un blog manda quando ti cita) dal file xmlrpc.php senza login, quindi l'attaccante indica un indirizzo suo, WordPress va a leggerlo e riceve la risposta Brotli costruita apposta, che manda in crash PHP.

Dunque aggiornare WordPress o i plugin, in questo caso, non serve a NIENTE. La correzione è il pacchetto della libreria sul server, e Patchstack avverte di un dettaglio: Debian e Ubuntu portano la correzione senza cambiare il numero di versione, quindi un server sistemato può ancora mostrare Brotli 1.1.0. Conta la revisione del pacchetto, che conosce soltanto chi gestisce il server.

Cosa fare in pratica: i passaggi per sito, e-commerce, gestionale e AI

Le scadenze sono quelle fissate dalla CISA per gli enti federali americani: non valgono per un'azienda italiana, ma dicono quanto la considerano urgente.

Patchstack precisa che bloccare xmlrpc.php chiude la strada più facile, ma restano aperti i plugin che scaricano indirizzi inseriti dai visitatori, l'anteprima dei link incorporati e i feed. Il divieto su wp-content/upgrade è invece un'aggiunta mia: dal momento che la CVE-2026-119977 sfrutta percorsi temporanei raggiungibili dal web, quella cartella non deve rispondere a un browser.

Se hai un gestionale o usi l'AI, la domanda è la stessa

La CISA precisa che Brotli è un componente open source usato da prodotti diversi, quindi il problema non riguarda soltanto WordPress. Nei progetti che seguo vedo spesso gestionali web e integrazioni AI su un server privato, con la sua copia della libreria. Il meccanismo descritto da Patchstack è un programma che scarica una risposta da un indirizzo scelto da altri, come fanno gli agenti AI che leggono pagine web (ne ho parlato a proposito di cosa deve poter fare un agente AI dentro i tuoi sistemi). Per te la mossa pratica è sapere a chi chiederlo e farti rispondere per iscritto, con la revisione e la data.

La manutenzione è quello che fa la differenza

Un sito continua a chiedere lavoro anche dopo la consegna, come ho spiegato parlando di aggiornamenti continui del sito web. Su WordPress e WooCommerce la responsabilità è divisa fra chi aggiorna il CMS e chi aggiorna il server, ed è una delle differenze che ho messo a confronto fra Shopify e WooCommerce e fra Next.js e WordPress. Nella manutenzione mensile che propongo per i siti web rientrano aggiornamenti del CMS e dei plugin, backup e monitoraggio, e su un caso del genere anche la domanda giusta all'hosting.

Se vuoi capire come applicare questi passaggi al tuo sito, al tuo e-commerce o al server del tuo gestionale, possiamo guardarli insieme in una chiamata gratuita di 30 minuti. Porta il nome dell'hosting e l'elenco dei programmi che girano sul server: in mezz'ora capiamo cosa è già a posto e cosa chiedere, e a chi.

Domande frequenti

Aggiornare WordPress alla 7.1.4 protegge dalla falla Brotli?

No, la 7.1.4 corregge la CVE-2026-119977 e altri problemi del core, non la CVE-2026-111497. Brotli non è dentro WordPress: è una libreria del sistema operativo del server, che WordPress usa attraverso cURL. Secondo Patchstack (30 ottobre 2026) l'unica correzione è aggiornare quella libreria, e lo fa chi gestisce il server. Le due correzioni vanno fatte entrambe, dal momento che chiudono due strade diverse di attacco.

Come faccio a sapere se il mio hosting ha corretto Brotli?

Lo chiedi per iscritto all'assistenza, domandando la revisione del pacchetto Brotli installato e la data dell'aggiornamento. Il numero di versione non basta: secondo Patchstack, Debian e Ubuntu correggono mantenendo lo stesso numero, quindi un server sistemato può mostrare ancora la 1.1.0. Le versioni ufficiali corrette da Google il 21 ottobre 2026 sono la 1.0.10, la 1.1.1 e la 1.2.1, e su un hosting condiviso la risposta può dartela soltanto l'assistenza.

Bloccare xmlrpc.php basta a mettere in sicurezza il sito?

No, è una misura temporanea che chiude la strada più facile ma non le altre. Patchstack indica che la falla si raggiunge anche dai plugin che scaricano indirizzi inseriti dai visitatori, dall'anteprima dei link incorporati e dai feed. Bloccare xmlrpc.php ha senso subito, se nessuna app o plugin collegato lo usa, ma la correzione vera resta l'aggiornamento di Brotli sul server.

Ho un e-commerce su WooCommerce: cosa cambia rispetto a un sito normale?

I passaggi sono gli stessi, ma vanno fatti con più attenzione. WooCommerce gira su WordPress, quindi valgono sia l'aggiornamento alla 7.1.4 sia la domanda all'hosting su Brotli. La differenza è che un negozio fermo perde ordini: prima dell'aggiornamento serve un backup, dopo una prova completa di ordine e pagamento. Se usi plugin che scaricano contenuti da altri siti, fai controllare anche quelli.

La falla Brotli riguarda anche gestionali e software con l'intelligenza artificiale?

Può riguardarli, perché la CISA precisa che Brotli è un componente open source usato da prodotti diversi. Se il tuo gestionale web o un'integrazione AI gira su un server dell'azienda, quella copia della libreria va aggiornata come quella dell'hosting. Se usi un software in abbonamento, l'aggiornamento spetta al fornitore. In entrambi i casi chiedi per iscritto se il pacchetto è stato corretto, e quando.