Plugin WordPress vulnerabili: perché aggiornare il sito è una questione di sicurezza

I plugin WordPress vulnerabili sono uno dei principali rischi per un sito aziendale. Non parliamo solo del classico sito “che ogni tanto non si vede bene”, ma di problemi molto più seri: furto di dati, pagine modificate, malware, accessi non autorizzati e, nei casi peggiori, danni alla reputazione dell’azienda.

WordPress è una piattaforma molto diffusa e versatile. Proprio per questo viene usata da milioni di siti in tutto il mondo: siti vetrina, blog, ecommerce, portali aziendali e aree riservate. Il problema è che spesso, dopo aver realizzato il sito, ci si dimentica della manutenzione.

Il sito funziona, quindi va tutto bene.
Peccato che anche una porta aperta “funzioni”. Soprattutto per chi vuole entrare.

Il problema non è WordPress, ma come viene gestito

WordPress, se aggiornato e configurato correttamente, può essere una soluzione solida. Il vero problema nasce quando il sito viene lasciato senza controlli per mesi o anni.

Molti siti aziendali utilizzano diversi plugin per aggiungere funzionalità: moduli di contatto, slider, gallerie immagini, sistemi di prenotazione, ecommerce, newsletter, strumenti SEO, backup e molto altro.

Ogni plugin è codice aggiuntivo.
E ogni codice aggiuntivo può contenere errori, vulnerabilità o funzioni non più sicure.

Nella settimana dall’11 al 17 maggio 2026, Wordfence ha segnalato 78 vulnerabilità relative a 62 plugin WordPress e 2 temi inserite nel proprio database di sicurezza. Questo dato fa capire bene quanto il tema sia continuo e non occasionale.

Il caso FunnelKit e WooCommerce

Un esempio recente riguarda il plugin Funnel Builder by FunnelKit, utilizzato su molti siti WooCommerce. Secondo Sansec, una vulnerabilità critica ha interessato oltre 40.000 checkout WooCommerce e veniva sfruttata attivamente per inserire JavaScript malevolo nelle pagine di pagamento.

In pratica, un attaccante poteva iniettare codice nella pagina checkout e cercare di intercettare dati sensibili inseriti dagli utenti, come informazioni di pagamento e dati di fatturazione. La vulnerabilità riguardava le versioni precedenti alla 3.15.0.3, poi corretta dagli sviluppatori del plugin.

Questo esempio è importante perché mostra un punto fondamentale: non serve sempre “bucare” tutto il sito. A volte basta una vulnerabilità in un singolo plugin per creare un problema serio.

E se il sito è un ecommerce, il problema non riguarda solo chi lo gestisce, ma anche i clienti.

Perché gli aggiornamenti sono fondamentali

Aggiornare WordPress, temi e plugin non serve solo ad avere nuove funzioni o una grafica più moderna. Gli aggiornamenti servono soprattutto a correggere problemi di sicurezza.

Quando viene scoperta una vulnerabilità, gli sviluppatori rilasciano una patch. Da quel momento, però, anche gli attaccanti sanno che esiste un problema e possono cercare siti non aggiornati da colpire.

In altre parole: più si rimanda, più il sito resta esposto.

Un sito WordPress non aggiornato può diventare vulnerabile a:

• inserimento di codice malevolo;
• creazione di utenti amministratori non autorizzati;
• furto di dati;
• redirect verso siti pericolosi;
• compromissione dei moduli di contatto;
• attacchi agli ecommerce;
• penalizzazioni SEO;
• blocco da parte di browser, antivirus o motori di ricerca.

E no, il fatto che “il sito sia piccolo” non è una garanzia. Gli attacchi automatici non fanno distinzioni sentimentali tra multinazionale e sito della ferramenta sotto casa.

I plugin inutilizzati sono un rischio

Un errore molto comune è lasciare installati plugin che non vengono più usati. Magari sono disattivati, magari servivano per una prova fatta anni prima, magari nessuno si ricorda nemmeno perché siano lì.

Il consiglio è semplice: se un plugin non serve, va eliminato.

Non disattivato.
Eliminato.

Un sito WordPress dovrebbe contenere solo i plugin realmente necessari, aggiornati e provenienti da fonti affidabili. Ogni plugin in più aumenta la superficie di attacco e rende più complessa la manutenzione.

Attenzione anche ai temi

Spesso si controllano i plugin e ci si dimentica dei temi. Anche i temi WordPress possono contenere vulnerabilità, soprattutto se includono page builder, funzioni avanzate, shortcode, sistemi di importazione demo o componenti non aggiornati.

Il tema attivo va mantenuto aggiornato.
I temi non utilizzati, invece, andrebbero rimossi, lasciando eventualmente solo un tema di default WordPress come fallback.

Anche qui vale la solita regola: meno cose inutili ci sono, meno problemi possono creare.

Cosa dovrebbe fare un’azienda

Per un’azienda, la manutenzione del sito WordPress non dovrebbe essere vista come un extra opzionale, ma come una normale attività di gestione informatica.

Un controllo periodico dovrebbe includere:

• aggiornamento di WordPress;
• aggiornamento di plugin e temi;
• verifica dei plugin non utilizzati;
• controllo degli utenti amministratori;
• backup automatici e verificabili;
• scansione malware;
• controllo dei log;
• verifica del certificato SSL;
• protezione dell’area di login;
• autenticazione a due fattori per gli amministratori.

La cosa importante è non aggiornare “alla cieca” su siti delicati, soprattutto ecommerce o siti con funzionalità personalizzate. Prima si esegue un backup, poi si aggiorna, poi si verifica che tutto funzioni correttamente.

Perché aggiornare è importante, ma aggiornare e rompere il sito il venerdì pomeriggio è uno sport estremo che sarebbe meglio evitare.

Backup: l’ombrello prima che piova

Un backup fatto bene è una delle protezioni più importanti. Ma attenzione: avere un plugin di backup installato non significa automaticamente essere al sicuro.

Bisogna verificare che:

• il backup venga eseguito davvero;
• sia salvato anche fuori dal sito;
• sia disponibile più di una versione;
• sia possibile ripristinarlo;
• comprenda file e database.

Un backup mai testato è un po’ come una ruota di scorta sgonfia: molto rassicurante finché non serve.

Sicurezza WordPress: prevenire costa meno che riparare

Quando un sito viene compromesso, la pulizia può diventare complessa. Non basta cancellare due file sospetti e sperare che tutto torni come prima.

Spesso bisogna controllare:

• file modificati;
• utenti amministratori sconosciuti;
• script nascosti;
• database;
• temi e plugin;
• redirect malevoli;
• cron job;
• permessi dei file;
• eventuali blacklist Google o antivirus.

Il costo di un intervento urgente, oltre al danno di immagine, è quasi sempre superiore a quello di una manutenzione periodica.

Conclusione

I plugin WordPress vulnerabili sono un rischio concreto per siti aziendali, ecommerce e dati dei clienti. Le notizie recenti dimostrano che le vulnerabilità non sono casi rari, ma eventi continui che richiedono attenzione.

WordPress resta uno strumento valido, ma deve essere gestito con metodo. Aggiornamenti, backup, controlli e manutenzione non sono dettagli tecnici: sono parte della sicurezza aziendale.

Un sito web non è un volantino stampato e lasciato lì.
È un sistema online, collegato a internet, esposto ogni giorno.

E internet, come sappiamo, è quel posto meraviglioso dove se lasci una porta aperta, qualcuno prima o poi entra anche solo per vedere se il divano è comodo.