WordPress può essere colpito dalla falla Brotli scaricando una pagina

La richiesta che arriva a WordPress può contenere soltanto un normale indirizzo web. Il contenuto che fa scattare la falla arriva dopo, quando il sito visita quell’indirizzo: è una risposta compressa con Brotli che la libreria libcurl decodifica prima di passarla a PHP. Patchstack descrive così un percorso d’attacco alla CVE-2026-111497 attraverso i pingback.

Il difetto è una scrittura fuori dai limiti della memoria nel decoder Brotli. Se il server usa una libreria vulnerabile e il pingback è accessibile, l’attacco può essere avviato senza un account. Il test descritto da Patchstack riproduce il blocco di un processo PHP; non dimostra invece l’esecuzione di codice da remoto su PHP.

È proprio il viaggio di ritorno a mettere in difficoltà i controlli sulla richiesta in ingresso: il payload non è lì. E il pingback è soltanto una strada. Anche un plugin che scarica un URL fornito da un visitatore può raggiungere lo stesso decoder.

La patch esiste dal 21 ottobre e riguarda Brotli sul server, non il core WordPress. Le distribuzioni Linux possono averla incorporata in pacchetti che mantengono il vecchio numero di versione della libreria: serve distinguere anche la revisione del pacchetto. Bloccare i pingback riduce l’esposizione, ma lascia aperti gli altri percorsi. Patchstack segnala inoltre che il solo filtro xmlrpc_enabled non disattiva i pingback, perché questi non richiedono autenticazione.