WordPress sotto attacco nel 2026: vulnerabilità, malware e come proteggere il sito

WordPress sotto attacco nel 2026 non è soltanto un titolo allarmistico: vulnerabilità recenti del core, plugin obsoleti, temi non aggiornati e campagne malware dimostrano quanto sia importante mantenere costantemente protetto un sito WordPress.

WordPress è una piattaforma estremamente versatile e viene utilizzata per blog, siti aziendali, portali, ecommerce e progetti professionali di ogni dimensione. La sua enorme diffusione, tuttavia, lo rende anche un obiettivo particolarmente interessante per bot automatici e criminali informatici.

La maggior parte degli attacchi non nasce perché qualcuno ha deciso di prendere di mira personalmente un determinato sito. Molto spesso si tratta di scansioni automatizzate che cercano continuamente installazioni vulnerabili su Internet.

Quando viene scoperta una vulnerabilità pubblicamente documentata, il tempo necessario per aggiornare WordPress, un plugin o un tema può diventare determinante.

WordPress sotto attacco nel 2026: cosa è successo

Il 17 luglio 2026 il progetto WordPress ha pubblicato WordPress 7.0.2, una release di sicurezza destinata a correggere una vulnerabilità classificata come critica e un’altra di gravità elevata.

La severità dei problemi ha portato il team WordPress a raccomandare l’aggiornamento immediato dei siti interessati e ad attivare aggiornamenti automatici per alcune versioni vulnerabili.

La comunicazione ufficiale può essere consultata direttamente sul sito di WordPress.org nella pagina dedicata alla release WordPress 7.0.2.

Le vulnerabilità interessate sono state identificate come CVE-2026-60137 e CVE-2026-63030.

CVE-2026-60137 riguarda una SQL injection che, nelle condizioni previste dalla vulnerabilità, può modificare il comportamento delle query verso il database.

CVE-2026-63030 riguarda invece una vulnerabilità che può consentire, nelle installazioni interessate, l’esecuzione di codice da remoto attraverso un endpoint della REST API.

Anche Cloudflare ha pubblicato un’analisi tecnica delle vulnerabilità WordPress, indicando le versioni corrette e predisponendo protezioni specifiche a livello WAF.

Cos’è wp2shell e perché è importante

Le due vulnerabilità sono diventate particolarmente rilevanti quando i ricercatori hanno documentato una possibile catena di attacco denominata wp2shell.

Combinando le vulnerabilità interessate, un aggressore può arrivare, nelle installazioni vulnerabili e nelle condizioni necessarie, all’esecuzione di codice senza autenticazione.

Il problema non è rimasto soltanto teorico. F5 Labs ha documentato la catena wp2shell, includendo informazioni sull’exploit e sull’attività osservata.

Questo scenario evidenzia una regola fondamentale della sicurezza informatica: quando una vulnerabilità diventa pubblica e sono disponibili informazioni sufficienti per sfruttarla, rimandare gli aggiornamenti aumenta l’esposizione al rischio.

Non significa che qualsiasi installazione WordPress venga automaticamente compromessa. Significa però che continuare a utilizzare una versione vulnerabile dopo la disponibilità di una correzione rappresenta un rischio evitabile.

Perché WordPress viene attaccato così spesso?

La ragione principale è la diffusione della piattaforma.

Un criminale informatico non deve necessariamente conoscere il proprietario del sito o sapere quali servizi offre. Un sistema automatico può analizzare migliaia di indirizzi alla ricerca di caratteristiche specifiche:

• versioni WordPress obsolete;
• plugin vulnerabili;
• temi non aggiornati;
• endpoint esposti;
• file lasciati da vecchie installazioni;
• credenziali compromesse;
• configurazioni errate;
• vulnerabilità pubblicamente conosciute.

Quando un bot trova una configurazione compatibile con una vulnerabilità può tentare automaticamente di sfruttarla.

Per questo anche un piccolo sito aziendale con poche visite può ricevere numerosi tentativi di attacco.

La sicurezza non dipende quindi dalla notorietà del sito. Un progetto poco conosciuto può essere individuato dagli scanner automatici esattamente come un portale con migliaia di visitatori.

Il rischio non riguarda soltanto WordPress Core

Un sito WordPress reale è costituito da diversi componenti.

Il core rappresenta soltanto una parte dell’installazione. A questo si aggiungono:

• plugin;
• tema;
• eventuale child theme;
• codice personalizzato;
• account amministrativi;
• database;
• servizi esterni;
• infrastruttura hosting.

Una vulnerabilità presente anche in uno solo di questi elementi può creare un possibile punto di ingresso.

Per questo aggiornare soltanto WordPress Core non è sufficiente.

Un plugin installato anni prima e non più mantenuto dallo sviluppatore può diventare un punto debole dell’intera installazione.

Lo stesso vale per temi obsoleti, estensioni provenienti da fonti non affidabili oppure componenti che non ricevono aggiornamenti da molto tempo.

Abbiamo approfondito questo problema anche nell’articolo Xlogic dedicato ai rischi degli attacchi supply chain nei plugin WordPress.

WordPress può essere compromesso senza conoscere la password?

Sì.

Una password robusta rimane fondamentale e l’autenticazione a due fattori rappresenta un’importante misura aggiuntiva, ma non tutte le compromissioni passano attraverso la pagina di login.

Una vulnerabilità applicativa può permettere di interagire con il sito senza conoscere le credenziali dell’amministratore.

A seconda della vulnerabilità, un aggressore potrebbe riuscire a:

• leggere informazioni;
• modificare dati;
• caricare file;
• eseguire codice;
• creare nuovi utenti;
• installare backdoor;
• modificare pagine e contenuti.

Per questo, quando un sito viene compromesso, limitarsi a cambiare la password dell’amministratore può non essere sufficiente.

La password deve certamente essere cambiata, ma bisogna anche verificare come è avvenuto l’accesso iniziale.

Come riconoscere un sito WordPress compromesso

Non tutte le infezioni producono immediatamente una schermata di errore.

In molti casi il malware cerca deliberatamente di rimanere nascosto. L’obiettivo dell’aggressore può essere mantenere il controllo del sito il più a lungo possibile.

Tra i segnali più frequenti troviamo:

• redirect verso siti sconosciuti;
• pagine che il proprietario non ha mai creato;
• nuovi utenti amministratori;
• file PHP sospetti;
• aumento anomalo dell’utilizzo di CPU e processi;
• invio improvviso di grandi quantità di email;
• modifiche inattese ai file;
• pagine spam indicizzate dai motori di ricerca;
• avvisi di sicurezza del browser;
• malware che ricompare dopo essere stato eliminato.

Su Xlogic abbiamo una guida specifica dedicata al problema: sito web compromesso da malware: sicurezza e prevenzione.

Per effettuare controlli aggiuntivi puoi consultare anche la nostra guida agli strumenti per la scansione malware di un sito web.

Perché il malware torna dopo la pulizia?

Cancellare il primo file rilevato da uno scanner antivirus non equivale necessariamente a bonificare l’intero sito.

Durante una compromissione l’aggressore può creare diversi punti di persistenza.

La sequenza potrebbe essere:

1. viene sfruttato un plugin vulnerabile;
2. viene caricato un primo file malevolo;
3. il file crea una seconda backdoor;
4. vengono modificati altri file WordPress;
5. viene inserito codice nel database;
6. il primo file viene rilevato ed eliminato;
7. la backdoor ancora presente ricrea il malware.

Per questo una bonifica professionale deve cercare sia l’infezione sia la causa della compromissione.

La Knowledge Base Xlogic contiene inoltre una guida specifica per i casi in cui si verifica una reinfezione malware rilevata da Imunify360.

Il malware può nascondersi anche nel database?

Sì. Un’infezione WordPress non deve necessariamente essere composta soltanto da file PHP malevoli.

Codice indesiderato può essere inserito anche all’interno del database, ad esempio nei contenuti, nelle opzioni, nei widget o in altre informazioni utilizzate dal CMS.

Questo è uno dei motivi per cui una semplice cancellazione dei file rilevati può non essere sufficiente.

Abbiamo approfondito l’argomento nell’articolo dedicato alla scansione malware del database MySQL con Imunify Security.

Imunify360 impedisce qualsiasi attacco WordPress?

Nessuno strumento di sicurezza può garantire che un’applicazione vulnerabile rimanga indefinitamente sicura senza essere aggiornata.

Tecnologie come Imunify360 sono molto importanti perché aggiungono diversi livelli di protezione all’infrastruttura hosting e possono contribuire a:

• individuare malware;
• bloccare attività malevole;
• riconoscere comportamenti sospetti;
• ridurre numerosi tentativi di attacco;
• impedire l’esecuzione di determinati file dannosi.

Ma la sicurezza del server e la sicurezza dell’applicazione sono due livelli complementari.

Lo stesso principio vale per un Web Application Firewall.

In occasione delle vulnerabilità WordPress del 2026 Cloudflare ha predisposto protezioni specifiche a livello WAF, continuando comunque a raccomandare l’aggiornamento alle versioni corrette.

La protezione migliore deriva quindi dalla combinazione di più misure:

hosting sicuro + firewall + antimalware + WordPress aggiornato + plugin aggiornati + password robuste + backup.

Il backup protegge dal malware?

Il backup non impedisce una compromissione.

È invece uno strumento fondamentale per il recupero.

Se un sito viene compromesso seriamente, avere più copie di sicurezza può permettere di ripristinare file e database a uno stato precedente.

Bisogna però verificare che il backup scelto sia realmente pulito.

Se il malware è entrato nel sito il 1° agosto e viene utilizzata una copia creata il 10 agosto, anche il backup potrebbe già contenere l’infezione.

Per questo è utile conservare più punti di ripristino e non soltanto l’ultima copia disponibile.

Dopo il ripristino bisogna inoltre risolvere la causa della compromissione. Ripristinare una copia pulita senza aggiornare il componente vulnerabile può semplicemente portare a un nuovo attacco.

Cosa fare con WordPress sotto attacco

Quando WordPress è sotto attacco o si sospetta una compromissione, intervenire in modo casuale può rendere più difficile capire cosa sia successo.

1. Valuta immediatamente il problema

Se il sito distribuisce malware, effettua redirect verso pagine pericolose o invia spam, può essere necessario limitarne temporaneamente l’accesso.

2. Conserva una copia dello stato compromesso

Prima di effettuare modifiche importanti è utile mantenere una copia dei file e del database per eventuali verifiche successive.

3. Analizza file e database

Cerca modifiche sospette, backdoor, codice offuscato, nuovi utenti e altri indicatori di compromissione.

4. Verifica l’integrità di WordPress

I file del core possono essere confrontati con quelli ufficiali della stessa versione.

5. Controlla plugin e temi

Individua componenti obsoleti, vulnerabili, abbandonati o provenienti da fonti non affidabili.

6. Rimuovi malware e backdoor

La pulizia deve riguardare tutti i punti compromessi e non soltanto il primo file segnalato.

7. Aggiorna il sito

WordPress, plugin e temi devono essere portati a versioni corrette e supportate.

8. Cambia le credenziali

È opportuno sostituire le password amministrative e, quando necessario, quelle di FTP/SFTP, database e pannello hosting.

9. Controlla gli utenti

Rimuovi eventuali account amministrativi non riconosciuti.

10. Monitora il sito

Nelle ore e nei giorni successivi verifica che file, utenti o comportamenti sospetti non ricompaiano.

Aggiornare WordPress elimina automaticamente il malware?

No.

Aggiornare WordPress corregge una vulnerabilità presente nel software, ma non elimina automaticamente eventuali file malevoli caricati prima dell’aggiornamento.

Se una backdoor è già stata installata sul sito, questa può continuare a esistere anche dopo aver portato WordPress all’ultima versione.

Aggiornamento e bonifica risolvono quindi due aspetti differenti:

• l’aggiornamento corregge il componente vulnerabile;
• la bonifica elimina malware, backdoor e modifiche introdotte dall’attaccante.

In una compromissione reale possono essere necessarie entrambe le operazioni.

Come proteggere WordPress sotto attacco e ridurre i rischi

La sicurezza assoluta non esiste, ma è possibile ridurre significativamente la superficie di attacco attraverso una corretta manutenzione.

• mantieni aggiornati WordPress Core, plugin e temi;
• elimina plugin e temi inutilizzati;
• evita software proveniente da fonti non affidabili;
• utilizza password lunghe, uniche e non riutilizzate;
• attiva l’autenticazione a due fattori quando disponibile;
• limita il numero degli account amministrativi;
• utilizza HTTPS;
• scegli un hosting dotato di sistemi di sicurezza;
• mantieni backup automatici con più punti di ripristino;
• controlla periodicamente file e utenti;
• intervieni rapidamente quando viene pubblicata una vulnerabilità critica.

Un’installazione che continua a funzionare ma non viene aggiornata da anni non dovrebbe essere considerata automaticamente sicura.

Hosting sicuro e WordPress aggiornato devono lavorare insieme

È importante distinguere la responsabilità dell’infrastruttura da quella dell’applicazione.

Il provider hosting deve mettere a disposizione un ambiente protetto, aggiornato e configurato con adeguate misure di sicurezza.

WordPress, plugin, temi e personalizzazioni devono però essere mantenuti a loro volta.

Un hosting sicuro non può trasformare indefinitamente un plugin vulnerabile in un plugin sicuro.

Allo stesso modo un WordPress aggiornato beneficia enormemente della presenza di firewall, sistemi antimalware, isolamento degli account e backup.

Per progetti professionali puoi consultare i piani Hosting WordPress Xlogic, progettati specificamente per siti basati su WordPress.

Sicurezza WordPress su Xlogic

L’infrastruttura hosting Xlogic utilizza differenti tecnologie dedicate alla protezione degli account e dei siti web, con sistemi di sicurezza a livello server, controllo delle attività malevole e analisi malware.

Queste misure costituiscono un’importante protezione, ma non sostituiscono la manutenzione del CMS.

Per questo è sempre consigliabile mantenere aggiornati WordPress, plugin e temi e rimuovere dal sito i componenti inutilizzati o non più supportati.

La combinazione corretta è:

infrastruttura protetta + applicazione aggiornata + monitoraggio + backup.

Quando serve una bonifica malware professionale?

Un intervento professionale diventa particolarmente utile quando:

• il sito continua a reinfettarsi;
• sono presenti numerosi file modificati;
• non è possibile stabilire quando sia iniziata l’infezione;
• non esiste un backup sicuramente pulito;
• sono presenti backdoor;
• il database contiene codice sospetto;
• il sito genera continuamente nuovi file malevoli;
• le normali scansioni non permettono di risolvere il problema.

Una bonifica dovrebbe comprendere l’analisi dei file compromessi, la ricerca delle backdoor, la verifica degli utenti, il controllo dei componenti installati e l’individuazione delle probabili cause della compromissione.

Rimuovere il malware senza correggere il punto di ingresso può produrre soltanto una soluzione temporanea.

Per approfondire consulta la guida Xlogic dedicata ai siti web compromessi e alla bonifica malware.

WordPress sotto attacco: prevenire costa meno che riparare

Quando WordPress sotto attacco diventa un problema concreto, le conseguenze possono andare ben oltre qualche file modificato.

Un sito compromesso può:

• perdere visibilità sui motori di ricerca;
• mostrare pagine spam;
• reindirizzare i visitatori;
• inviare email indesiderate;
• consumare risorse del server;
• subire blocchi di sicurezza;
• causare danni alla reputazione del dominio;
• diventare temporaneamente indisponibile.

Una manutenzione periodica richiede generalmente molto meno lavoro rispetto alla gestione di una compromissione estesa.

Gli aggiornamenti non dovrebbero quindi essere considerati un’attività facoltativa da effettuare soltanto quando compare un problema.

Fanno parte della normale gestione di qualsiasi progetto WordPress professionale.

Conclusioni

Gli eventi del 2026 dimostrano ancora una volta quanto rapidamente possa cambiare lo scenario della sicurezza WordPress.

La pubblicazione degli aggiornamenti di sicurezza e le vulnerabilità associate alla catena wp2shell ricordano che anche problemi del core possono richiedere interventi tempestivi.

Concentrarsi soltanto sull’ultima vulnerabilità sarebbe però un errore.

La sicurezza di WordPress dipende dalla manutenzione continua dell’intero ecosistema:

• core;
• plugin;
• temi;
• utenti;
• password;
• hosting;
• firewall;
• backup;
• monitoraggio.

Quando un WordPress sotto attacco mostra segni di compromissione, l’obiettivo non deve essere soltanto cancellare il malware visibile.

Bisogna individuare la causa, eliminare eventuali backdoor, aggiornare i componenti vulnerabili e verificare che l’aggressore non disponga più di un accesso al sito.

Prevenzione, aggiornamenti e infrastruttura sicura rimangono la strategia più efficace per ridurre il rischio.

Domande frequenti su WordPress sotto attacco

Cosa fare quando WordPress è sotto attacco?

È necessario verificare file, database, utenti amministrativi, plugin e temi, cercando malware e possibili backdoor. Dopo la bonifica bisogna aggiornare i componenti vulnerabili, modificare le credenziali interessate e monitorare il sito.

WordPress può essere hackerato anche con una password sicura?

Sì. Una vulnerabilità nel core, in un plugin o in un tema può essere sfruttata senza conoscere la password dell’amministratore. Password robuste e autenticazione a due fattori sono importanti, ma non sostituiscono gli aggiornamenti.

Imunify360 protegge completamente WordPress?

Imunify360 aggiunge importanti livelli di sicurezza e può individuare o bloccare numerose minacce. Non sostituisce però l’aggiornamento di WordPress, plugin e temi vulnerabili.

Aggiornare WordPress elimina il malware?

No. L’aggiornamento può correggere la vulnerabilità utilizzata per entrare nel sito, ma eventuali file malevoli o backdoor già presenti devono essere individuati e rimossi separatamente.

Perché un sito WordPress continua a reinfettarsi?

Le cause più frequenti sono una backdoor non individuata, un componente ancora vulnerabile, credenziali compromesse oppure codice malevolo rimasto nei file o nel database.

Posso risolvere ripristinando un backup?

Sì, purché il backup sia realmente precedente alla compromissione. Dopo il ripristino bisogna comunque aggiornare il sito e correggere il punto di ingresso utilizzato dall’attaccante.

Un sito WordPress poco visitato può essere attaccato?

Sì. Molti attacchi vengono eseguiti automaticamente da bot che cercano versioni o componenti vulnerabili indipendentemente dal traffico del sito.

È meglio bonificare WordPress o reinstallarlo?

Dipende dal livello della compromissione. In alcuni casi è possibile sostituire i file del core con copie pulite, ma plugin, temi, upload e database devono comunque essere analizzati per escludere backdoor e codice malevolo.