WordPress, plugin e aggiornamenti rimandati: perché tanti siti aziendali si bloccano o vengono hackerati

Perché WordPress è il bersaglio più comune, e perché non è colpa sua

WordPress alimenta ancora oggi la maggioranza dei siti costruiti nel mondo, ed è proprio questa diffusione a renderlo il bersaglio preferito da chi cerca falle di sicurezza in modo automatizzato: più un sistema è diffuso, più conviene scrivere script che lo scansionano in massa, su migliaia di domini insieme.

Il core di WordPress, cioè il software base, è in realtà manutenuto bene e aggiornato di frequente. Il problema quasi mai nasce da lì: nasce dall'ecosistema che gira intorno, fatto di decine di migliaia di plugin e temi scritti da sviluppatori diversi, con standard di sicurezza molto diversi tra loro.

Il vero problema non è il CMS, sono i plugin di terze parti

Chi analizza ogni anno le vulnerabilità pubblicate sui siti WordPress conferma sempre lo stesso schema: la grande maggioranza delle falle documentate riguarda plugin e temi di terze parti, non il nucleo centrale di WordPress. Un sito con quindici o venti plugin attivi, come capita spesso su siti costruiti con page builder generalisti, ha quindi venti punti diversi che possono diventare una porta d'ingresso, ognuno con il proprio ciclo di aggiornamenti e il proprio livello di manutenzione da parte di chi lo ha scritto.

Non serve nemmeno un plugin "importante": basta che sia installato e dimenticato lì, magari disattivato ma non rimosso, perché il codice resti comunque presente sul server e sfruttabile se qualcuno trova una vulnerabilità nota.

Cosa succede davvero a un sito aziendale compromesso

Un sito hackerato raramente mostra una scritta vistosa che annuncia l'attacco: il caso più comune è silenzioso, con pagine nascoste create per fare spam o reindirizzare a siti di scommesse e farmaci online, visibili solo a Google e non a chi naviga normalmente. Il risultato è che Google se ne accorge prima del titolare dell'attività, e spesso la prima notizia arriva come un calo improvviso di traffico o un avviso di contenuto ingannevole nei risultati di ricerca.

Da lì in poi i costi si moltiplicano: bonifica del sito, richiesta di revisione a Google per uscire dalla lista nera, settimane di posizionamento perso, e nel frattempo un modulo contatti che magari smette di inviare email senza che nessuno se ne accorga. Il costo di una pulizia d'emergenza, fatta da un'agenzia chiamata a sito già compromesso, è quasi sempre più alto di quanto si sarebbe speso in un anno di manutenzione preventiva.

Perché gli aggiornamenti vengono sempre rimandati

La ragione più comune per cui un aggiornamento viene rimandato è la paura che "rompa" qualcosa: con tanti plugin diversi installati, aggiornarne uno può davvero creare un conflitto con un altro, e chi non ha un ambiente di test separato preferisce non toccare nulla finché il sito funziona.

Il problema è che le vulnerabilità corrette da un aggiornamento diventano pubbliche nel momento stesso in cui l'aggiornamento viene rilasciato: chi scansiona il web per trovare siti ancora sulla versione precedente lo sa, e lo fa in modo automatico. Rimandare un aggiornamento non evita il rischio, lo rende più concreto ogni giorno che passa.

Come cambia con un sito costruito su misura, senza decine di plugin

Un sito costruito con un framework moderno e codice proprio, invece che assemblato con un page builder e una lunga lista di plugin, elimina la maggior parte di questa superficie d'attacco semplicemente perché non esiste: non ci sono venti componenti di terze parti da tenere sincronizzati, ognuno con il proprio produttore e la propria velocità di risposta alle falle.

Non significa che un sito su misura sia immune per definizione: significa che la responsabilità della sicurezza si concentra in un unico punto, gestito da chi ha costruito il sito, invece di essere distribuita su decine di sviluppatori esterni che non si conoscono tra loro e che magari hanno smesso di aggiornare un plugin anni fa.

La manutenzione come servizio continuo, non come emergenza

La differenza pratica più grande è nel tipo di manutenzione: su un sito con molti plugin la manutenzione è reattiva, si interviene quando qualcosa si rompe o viene segnalato. Su un sito gestito correttamente, invece, backup regolari e testati, scansione anti-malware, aggiornamenti pianificati e rinnovo di dominio e certificato di sicurezza fanno parte di un controllo continuo, non di un intervento isolato dopo che il danno è già fatto.

È il motivo per cui una formula di gestione annuale che include queste voci, come quella prevista dal nostro Sito AI-First (dominio intestato al cliente dal primo giorno, hosting, backup, anti-malware, anti-spam e tre caselle email professionali), ha senso: sposta la sicurezza da "problema da risolvere quando capita" a parte integrante della gestione del sito.

Cosa controllare oggi sul proprio sito, in dieci minuti

Qualche verifica rapida che chiunque può fare senza competenze tecniche: controllare se esiste un backup recente e, soprattutto, se è mai stato testato davvero (un backup che non si è mai provato a ripristinare non è una garanzia); verificare che il certificato di sicurezza (il lucchetto nella barra del browser) sia valido; aprire il sito da una finestra in incognito e controllare che non appaiano reindirizzamenti strani verso altri domini; contare quanti plugin sono installati e chiedersi, per ognuno, se è ancora davvero necessario.

Se la risposta a una di queste domande lascia dubbi, probabilmente è il momento di un controllo più approfondito, prima che il problema si manifesti da solo nel modo peggiore: con un calo di traffico o una segnalazione da Google.

Continua a leggere