Un recente sondaggio di WordPress.com ha chiesto quale sarebbe stata la principale minaccia per la sicurezza di WordPress nel 2026.

Il 51% delle persone ha indicato i plugin obsoleti, prima degli attacchi di forza bruta, delle password deboli e dei temi “nulled” o piratati.

Patchstack ha riferito che il 91% delle nuove vulnerabilità rilevate nell’ecosistema WordPress riguardava i plugin. Solo il 9% era legato ai temi e una frazione minima al core di WordPress.

Questo non significa che i plugin siano dannosi.

Significa che ogni plugin aggiunge codice, dipendenze e potenziali punti di accesso. Quando quel software non riceve più manutenzione o un aggiornamento di sicurezza non viene installato in tempo, il rischio aumenta.

Una vulnerabilità nota è anche un’opportunità nota

Quando viene scoperta una falla, di norma lo sviluppatore pubblica un aggiornamento per correggerla.

Il problema inizia quando l’aggiornamento è disponibile, ma il sito continua a usare la versione vulnerabile.

Un attaccante non deve necessariamente scoprire una nuova falla. Può cercare automaticamente i siti che eseguono ancora versioni precedenti e colpire quelli che restano esposti.

Il problema non riguarda solo WordPress. Il DBIR 2026 di Verizon ha rilevato che il 31% delle violazioni analizzate è iniziato con lo sfruttamento di una vulnerabilità software, che per la prima volta ha superato le credenziali rubate come principale punto di accesso iniziale.

In altre parole, aggiornare in ritardo non è più soltanto una cattiva pratica tecnica. È un rischio per l’attività.

Cosa può succedere se il tuo sito non riceve manutenzione?

Per un’azienda, un’agenzia o un ecommerce, un incidente può comportare:

• Interruzioni delle vendite o delle richieste dei clienti.
• Reindirizzamenti verso siti fraudolenti.
• Creazione non autorizzata di account amministratore.
• Furto o esposizione di informazioni.
• Danni alla reputazione del marchio.
• Perdita di visibilità sui motori di ricerca.
• Ore o giorni di lavoro per ripristinare il sito.

Il costo reale non consiste soltanto nel “riparare WordPress”. Comprende anche le vendite, le opportunità e la fiducia perse mentre il sito non funziona correttamente.

Gli aggiornamenti aiutano, ma non sono l’intera strategia

Un sito protetto richiede un processo continuo, non un aggiornamento occasionale quando qualcuno si ricorda di accedere al pannello.

Questo processo dovrebbe includere:

1. Inventario di plugin e temi

   Sapere quali software sono installati, a cosa servono e chi ne cura la manutenzione.

2. Aggiornamenti controllati

   Installare regolarmente le correzioni, verificando prima che non compromettano moduli, acquisti, integrazioni o funzionalità critiche.

3. Rimozione del software non necessario

   Anche un plugin disattivato ma ancora installato può contenere codice vulnerabile. Se non viene utilizzato, deve essere rimosso.

4. Backup verificati

   Avere una copia non basta. Occorre anche verificare che possa essere ripristinata correttamente.

5. Protezione degli accessi

   Utilizzare password uniche, autenticazione a due fattori e solo i permessi necessari per ciascuna persona.

6. Monitoraggio

   Rilevare modifiche impreviste, errori, file alterati o vulnerabilità prima che diventino un’emergenza.

7. Software legittimo e sottoposto a manutenzione

   Temi e plugin piratati potrebbero essere stati modificati per includere codice dannoso e non offrono un canale di aggiornamento affidabile.

Sicurezza significa anche continuità operativa

Il tuo sito web può essere una vetrina, un negozio online, una fonte di contatti commerciali o una parte essenziale delle tue attività.

Non dovrebbe dipendere dal fatto che qualcuno si ricordi di aggiornarlo ogni qualche mese.

In ElPuas Digital Crafts lavoriamo proprio per ridurre questo rischio: mantenere WordPress aggiornato, stabile e pronto per essere ripristinato se qualcosa va storto.

Perché il miglior incidente di sicurezza è quello che riusciamo a prevenire.

Quando è stata l’ultima volta che qualcuno ha verificato davvero la sicurezza e la manutenzione del tuo sito WordPress?