Quando un plugin SEO con più di due milioni di installazioni attive accumula 30 vulnerabilità note, il problema non è “se” verrai attaccato, ma “quando”. E l’ultima falla permette a un attaccante non autenticato di eseguire shortcode arbitrari. Lo scenario emerge dalla pagina dedicata ad All in One SEO su WPScan, il database di vulnerabilità per WordPress: qui il conteggio delle falle note e dei fix pubblicati è pubblico e aggiornato. Per chi lavora sul traffico organico, è un dato che sposta la sicurezza dentro la strategia SEO.

Il numero che nessun SEO vuole vedere: 30 vulnerabilità, 2 milioni di installazioni

Il numero che nessun SEO vuole vedere è sintetizzato in due cifre: 30 vulnerabilità note e 2.000.000 installazioni attive. La prima cifra arriva dalla pagina del plugin su WPScan; la seconda è confermata anche da WordPress.org, citato in un articolo di WP Tavern, secondo cui All in One SEO supera i due milioni di installazioni attive. Non si tratta di un plugin di nicchia: è uno degli strumenti SEO più diffusi per WordPress, usato da agenzie, content manager e publisher.

Tra le 30 vulnerabilità, quelle pubblicate a inizio ottobre mostrano che il perimetro non riguarda solo ruoli interni al sito. Ma contare le vulnerabilità è solo il primo passo: la differenza la fanno i vettori d’attacco e chi può sfruttarli.

Shortcode arbitrari, XSS riflesso e stored: la sicurezza diventa campo di battaglia competitivo

All’inizio di ottobre, due advisory ravvicinati hanno reso il quadro concreto. Il 1° ottobre è stata pubblicata la vulnerabilità “All in One SEO < 5.0.2 – Reflected DOM-Based XSS via URL Pathname”, dove XSS sta per Cross-Site Scripting, con un punteggio CVSS (Common Vulnerability Scoring System) di 7.1, classificato come alto, e corretta nella versione 5.0.2. Il giorno successivo, il 2 ottobre, è emersa la falla identificata come “All in One SEO < 5.0.2.1 – Unauthenticated Arbitrary Shortcode Execution via Search Query”, con CVSS 6.5 e fix nella versione 5.0.2.1. Quest’ultima è particolarmente insidiosa perché non richiede alcun accesso autenticato: secondo quanto riporta il GitHub Advisory Database, attaccanti non autenticati possono eseguire shortcode arbitrari.

Lo scorso 1° settembre, invece, era stata pubblicata “All in One SEO < 5.0.0.1 – Contributor+ Stored XSS via ai-assistant Block”, con CVSS 6.8 e fix nella versione 5.0.0.1. In questo caso il vettore è diverso: serve un ruolo Contributor o superiore e la falla vive nel blocco AI Assistant, quindi passa dalla capacità di creare o modificare contenuti nell’editor. Il mix delle tre vulnerabilità mostra un pattern: XSS riflessa, XSS stored e shortcode execution convivono in uno stesso plugin, con gravità che vanno da media ad alta.

E qui il confronto si fa interessante: non è solo AIOSEO a mostrare crepe. Anche Yoast SEO, il principale concorrente, ha affrontato una vulnerabilità Stored Cross-Site Scripting (XSS) nell’attributo del blocco jsonText, identificata come CVE-2026-3427, che colpisce tutte le versioni fino alla 27.1.1 inclusa; la correzione è arrivata dopo la versione 27.1.1, come documentato nel database di vulnerabilità di SentinelOne. È un paradosso per chi sceglie un plugin SEO basandosi sulla popolarità: i due leader condividono lo stesso tipo di falle, a volte con vettori molto simili. Resta aperta la domanda: se i due plugin più diffusi presentano vulnerabilità comparabili, cosa significa per chi deve selezionare o mantenere un sito WordPress?

Domani mattina, prima di aprire Google Search Console: la checklist di sopravvivenza

La risposta operativa non è aspettare il prossimo advisory: è verificare subito la versione installata e il tipo di accesso esposto. Se All in One SEO è installato in una versione inferiore alla 5.0.2.1, la falla di esecuzione shortcode non autenticata è aperta; se è inferiore alla 5.0.2, si è esposti alla XSS riflessa DOM-based via pathname dell’URL; se è inferiore alla 5.0.0.1, resta anche la stored XSS via ai-assistant. L’aggiornamento all’ultima release disponibile, a partire dalla 5.0.2.1, è il primo passo.

Poi, prima di aprire Google Search Console, vale la pena controllare due cose: chi ha ruoli di scrittura nell’editor — la stored XSS via ai-assistant richiede almeno un ruolo Contributor — e se il blocco AI Assistant è attivo su contenuti accessibili a più persone. La shortcode execution, al contrario, prescinde dall’autenticazione: anche un sito con una redazione ristretta può essere colpito attraverso la query di ricerca. In entrambi i casi, il prossimo aggiornamento non è una formalità: è la linea di difesa.

Non aspettare la prossima CVE: aggiorna oggi il plugin e verifica la versione. La SEO non è solo rank, è anche sopravvivenza del sito.