Vulnerabilitate critică în Elementor Pro: CVE-2026-32475 permite încărcarea de fișiere PHP

O vulnerabilitate critică a fost descoperită în Elementor Pro, unul dintre cele mai utilizate plugin-uri pentru construirea site-urilor WordPress.

Problema este identificată ca CVE-2026-32475 și are un scor de severitate de 9.0 din 10. În anumite condiții, un atacator poate încărca pe site un fișier PHP malițios fără să aibă nevoie de cont sau parolă.

Vulnerabilitatea afectează Elementor Pro până la versiunea 4.2.1 inclusiv, iar problema a fost remediată în versiunea 4.2.2, publicată pe 19 august 2026.

Cum funcționează vulnerabilitatea?

Problema se află în modulul Forms din Elementor Pro, mai exact în câmpul File Upload.

Acest câmp este folosit frecvent pentru formulare precum:

• aplicări pentru un loc de muncă și încărcarea unui CV;
• formulare unde utilizatorul atașează fotografii;
• trimiterea unor documente sau chitanțe;
• formulare de suport cu fișiere atașate.

Din cauza modului în care Elementor Pro verifica și procesa fișierele încărcate, un atacator putea ocoli restricțiile privind extensiile periculoase și putea încărca inclusiv un fișier .php. Cercetătorii Patchstack arată că atacul poate fi realizat fără autentificare dacă există un formular public cu un câmp File Upload.

Ce poate face un atacator?

Dacă fișierul PHP încărcat este executat de server, atacatorul poate ajunge să ruleze propriul cod pe site.

În practică, acest lucru poate permite:

• preluarea controlului asupra site-ului;
• instalarea unui backdoor sau web shell;
• modificarea sau ștergerea conținutului;
• accesarea bazei de date;
• crearea unor conturi WordPress de administrator;
• furtul unor informații;
• folosirea site-ului pentru distribuirea de malware.

Acest tip de vulnerabilitate este deosebit de periculos deoarece nu este necesar ca atacatorul să aibă deja acces la WordPress.

Este site-ul meu vulnerabil?

Riscul există dacă folosești Elementor Pro 4.2.1 sau o versiune mai veche și ai cel puțin un formular public Elementor care conține un câmp File Upload.

Aceasta nu este o configurație neobișnuită. Câmpurile pentru încărcarea fișierelor sunt folosite pe foarte multe site-uri pentru CV-uri, documente, imagini sau cereri de suport.

Ce trebuie să faci?

Dacă folosești Elementor Pro:

1. Intră în WordPress → Plugin-uri.
2. Verifică versiunea Elementor Pro.
3. Actualizează la Elementor Pro 4.2.2 sau o versiune mai nouă.
4. Verifică formularele care permit încărcarea de fișiere.
5. Dacă ai folosit o versiune vulnerabilă, verifică directorul wp-content/uploads/elementor/forms/ pentru fișiere PHP necunoscute.

Este recomandat să faci un backup înainte de actualizare. Elementor recomandă, de asemenea, ca Elementor și Elementor Pro să fie menținute împreună la versiuni compatibile și actualizate, pentru a evita problemele de funcționare.

Actualizarea nu este suficientă dacă site-ul a fost deja atacat

Instalarea versiunii reparate împiedică exploatarea vulnerabilității pe viitor, dar nu șterge automat eventualele fișiere malițioase încărcate anterior.

Dacă site-ul a folosit o versiune vulnerabilă, este recomandată și o verificare pentru:

• fișiere PHP necunoscute în directoarele de upload;
• utilizatori administratori pe care nu îi recunoști;
• plugin-uri instalate fără acordul tău;
• modificări recente ale fișierelor WordPress;
• redirectări sau pop-up-uri neobișnuite.

Recomandarea Host IQ

Dacă folosești Elementor Pro, actualizează plugin-ul cât mai repede la versiunea 4.2.2 sau mai nouă.

Vulnerabilitățile care permit încărcarea de fișiere PHP sunt printre cele mai periculoase pentru un site WordPress, deoarece pot transforma un simplu formular public într-un punct de intrare pentru atacatori.

Pe lângă actualizări, un site WordPress important ar trebui să beneficieze de backup-uri automate, firewall, reguli stricte pentru fișierele încărcate și monitorizarea modificărilor, astfel încât eventualele probleme să poată fi detectate înainte să producă daune.