Swiper è una delle librerie di slider più diffuse del web e Elementor la utilizza in tutti i suoi caroselli e nelle gallerie. A febbraio 2026 gli sviluppatori di Swiper hanno corretto una vulnerabilità critica, la CVE-2026-27212. Eppure, ancora a metà ottobre, l’ultima versione di Elementor, la 4.3.5, include ancora Swiper 8.4.5, una versione che non contiene questa correzione.
Ce ne siamo accorti durante la scansione di sicurezza mensile che EvoEX esegue sui siti dei clienti. In questo articolo spieghiamo cosa c’è esattamente che non va, quanto è reale il rischio e cosa fare finché Elementor non rilascia una correzione.
Cos’è Swiper e perché è presente sul tuo sito
Swiper è una libreria JavaScript che permette di creare slider scorrevoli con il trascinamento: caroselli di immagini, slider di recensioni, gallerie di prodotti. Elementor lo include nel proprio plugin (nella cartella elementor/assets/lib/swiper/v8/) e lo carica nelle pagine in cui viene usato uno dei widget slider. Se il tuo sito è realizzato con Elementor, molto probabilmente Swiper c’è anche da te, anche se non ne hai mai sentito parlare.
Di che vulnerabilità si tratta
La CVE-2026-27212 è una vulnerabilità di tipo “prototype pollution” ed è classificata come critica nel database di sicurezza di GitHub. Interessa le versioni di Swiper dalla 6.5.1 alla 12.1.1; la correzione è disponibile nella versione 12.1.2, uscita il 18 febbraio 2026.
In parole semplici: se un attaccante riesce a fornire a Swiper impostazioni appositamente costruite, può modificare gli oggetti fondamentali di JavaScript nel browser. La correzione precedente controllava le chiavi vietate, ma si poteva aggirare usando degli array. Le conseguenze dipendono da ciò che accade dopo nella pagina e, nel peggiore dei casi, possono aprire la strada all’esecuzione di codice dannoso nel browser del visitatore.
Perché Elementor non l’ha ancora corretta
Elementor usa ancora Swiper 8 e il passaggio all’ultima versione (oggi la 14.x) comporta grandi cambiamenti che potrebbero rompere gli slider esistenti su migliaia di siti. Per questo la versione vulnerabile resta nel plugin da circa otto mesi. Lo abbiamo verificato il 15 ottobre: Elementor 4.3.5 ed Elementor Pro 4.3.2 caricano swiper.min.js?ver=8.4.5.
Quanto è reale il rischio
Qui c’è una buona notizia. Le impostazioni degli slider di Elementor provengono dall’editor e possono essere modificate solo dall’amministratore o dall’editor del sito. Un normale visitatore esterno non può influenzarle. Per sfruttare questa vulnerabilità tramite i widget di Elementor, l’attaccante dovrebbe già avere accesso al pannello di amministrazione e, a quel punto, avrebbe modi molto più semplici per danneggiare il sito.
Per questo il rischio pratico per la maggior parte dei siti Elementor è basso. La situazione può essere diversa se sul sito ci sono altri plugin o codice personalizzato che costruiscono le impostazioni di Swiper a partire da parametri URL o da dati inseriti dall’utente.
Cosa fare adesso
- Aggiorna Elementor ed Elementor Pro alle ultime versioni. Questo non risolve ancora il problema di Swiper, ma chiude altre falle, come la CVE-2026-32475 nel caricamento di file di Elementor Pro.
- Proteggi gli account degli amministratori: password robuste e autenticazione a due fattori per tutti coloro che hanno accesso all’editor. È la principale linea di difesa proprio contro questa vulnerabilità.
- Controlla gli altri plugin che usano slider. Se qualcuno di essi carica una propria copia di Swiper, assicurati che sia la 12.1.2 o successiva.
- Non modificare il file di Swiper a mano. Elementor potrebbe non funzionare con una versione più recente di Swiper e il prossimo aggiornamento del plugin sovrascriverebbe comunque la tua correzione.
Come l’abbiamo scoperta
Sui siti dei clienti EvoEX eseguiamo ogni mese una scansione di sicurezza automatica con OWASP ZAP, che controlla il sito dall’esterno proprio come farebbe un potenziale attaccante: librerie obsolete, header di sicurezza, file accessibili pubblicamente. Stavolta ha individuato Swiper 8.4.5. Appena Elementor rilascerà una versione con Swiper corretto, i siti dei nostri clienti verranno aggiornati e la scansione successiva lo confermerà.
Se vuoi sapere se il tuo sito presenta falle simili, contattaci e lo verificheremo.