Sicurezza WordPress: perché i plugin sono il punto debole

WordPress fa girare una fetta enorme del web, il tuo sito compreso con buona probabilità. Non è un software scritto male: è un software estremamente diffuso, e questo lo rende il bersaglio più conveniente del mondo. Chi attacca non sceglie te, sceglie una vulnerabilità e la prova su qualche milione di indirizzi in automatico. Il tuo sito viene trovato perché esiste, non perché interessa a qualcuno.

Cosa è successo nel 2026

L'anno ha portato due segnalazioni serie sul core di WordPress, identificate come CVE-2026-60137 e CVE-2026-63030. Prese singolarmente sarebbero state gestibili. Combinate danno luogo a una catena che i ricercatori hanno battezzato wp2shell e che, in condizioni sfavorevoli, consente a un attaccante non autenticato di arrivare all'esecuzione di codice sul server. Di entrambe circolano dimostrazioni pubbliche, e sono stati rilevati tentativi di sfruttamento reali.

Sul fronte plugin la storia è la solita: un errore di autorizzazione in un componente molto diffuso per gli slider ha esposto circa mezzo milione di siti, molti dei quali ancora oggi non aggiornati. E accanto alle vulnerabilità scoperte c'è il fenomeno più insidioso, cioè plugin in cui il codice malevolo viene iniettato a monte, creando una backdoor che non nasce da un errore ma da una scelta deliberata di chi ha preso il controllo del progetto.

Il vero problema non è la falla, è l'accumulo

Nella pratica quotidiana quasi nessun sito aziendale viene compromesso da un attacco raffinato. Viene compromesso perché nel corso degli anni ha accumulato quindici o venti plugin, installati per risolvere un problema specifico e poi dimenticati. Metà non serve più. Un quarto non riceve aggiornamenti da anni perché l'autore ha smesso di occuparsene. E nessuno li tocca, perché "funzionano ancora" e perché ogni aggiornamento porta con sé il timore di rompere qualcosa.

È esattamente lo scenario che i bot cercano. Ogni plugin è codice di terzi che gira con i permessi del tuo sito: più ne hai, più ampia è la superficie che devi difendere, e la difendi solo se qualcuno se ne occupa con regolarità.

Cosa controllare, subito

Le cose che fanno davvero la differenza sono poche e noiose. WordPress, temi e plugin aggiornati, con gli aggiornamenti di sicurezza applicati in giorni e non in mesi. Un inventario onesto di cosa è installato, con disinstallazione (non semplice disattivazione) di tutto quello che non serve più. Autenticazione a più fattori sugli account amministratore, che restano il bersaglio numero uno. Backup che vivono fuori dal server del sito, perché un backup conservato accanto al sito compromesso viene compromesso insieme a lui. E la verifica periodica che i plugin che usi siano ancora mantenuti da qualcuno.

Quando conviene cambiare impostazione

C'è un momento in cui la manutenzione smette di essere la risposta giusta. Se il sito si regge su una decina di plugin che si sovrappongono, se ogni aggiornamento è una scommessa, se per aggiungere una funzione banale bisogna installarne un altro, il costo di tenerlo in piedi ha superato il costo di rifarlo. Un sito costruito su misura per quello che ti serve ha una superficie di attacco molto più piccola, semplicemente perché non porta con sé migliaia di righe di codice pensate per casi d'uso che non sono i tuoi.

Non è una regola assoluta e non vale per tutti: un sito WordPress curato, con pochi componenti e manutenzione seria, è una scelta perfettamente sensata. Il problema non è lo strumento, è l'abbandono.

Come ci muoviamo noi

Facciamo una verifica dello stato del sito, mettiamo in ordine aggiornamenti, accessi e backup, e ti diciamo con franchezza se conviene tenere l'impianto attuale o se stai pagando ogni anno la manutenzione di qualcosa che andrebbe ripensato. Sviluppiamo anche su WordPress quando ha senso, per esempio con plugin custom che sostituiscono cinque componenti generici con uno scritto per il tuo caso.