WordPress: come proteggerlo dalle vulnerabilità più comuni

Aggiornamenti automatici: core, plugin e temi

WordPress aggiorna da solo le versioni minori di sicurezza (per esempio da 7.1.3 a 7.1.4, uscita il 28 ottobre 2026) fin dalla versione 3.7, uscita nel 2013. Dalla versione 5.6 (fine 2020), le installazioni nuove hanno anche gli aggiornamenti maggiori automatici per default — ma un sito aggiornato da una versione precedente alla 5.6 mantiene il comportamento vecchio (solo versioni minori), e in ogni caso plugin e temi restano manuali per default su qualunque sito: un sito gestito da solo spesso non li guarda per mesi.

La documentazione ufficiale di WordPress lo dice senza mezzi termini: bisogna restare sempre sulla versione più recente. Vale anche per plugin e temi, perché sono il punto da cui entra la maggior parte degli attacchi (lo vedi nella sezione sulle CVE, più avanti).

1. Vai su Bacheca, poi Aggiornamenti: da lì vedi subito cosa è rimasto indietro.
2. In Plugin → Plugin installati, nella colonna Aggiornamenti automatici clicca, per ogni plugin, Abilita gli aggiornamenti automatici.
3. Fai lo stesso in Aspetto → Temi: apri il tema che usi e clicca Abilita gli aggiornamenti automatici.
4. Se un plugin non viene aggiornato da più di un anno (lo vedi nella sua pagina sul repository di WordPress.org, voce "Ultimo aggiornamento"), valuta di sostituirlo: un plugin abbandonato non riceverà mai la correzione di una falla trovata dopo.

Password forte e autenticazione a due fattori

La pagina ufficiale di hardening di WordPress è precisa su cosa non deve essere una password da amministratore: il tuo nome, il nome del sito, il nome dell'azienda, o una parola che sta su un vocabolario, in qualunque lingua. Il motivo è che i programmi usati per forzare un accesso provano prima proprio quelle combinazioni.

La password da sola, però, non basta più: se qualcuno la scopre (una fuga di dati da un altro sito dove l'avevi riusata, per esempio), con la sola password entra. L'autenticazione a due fattori chiede, oltre alla password, un codice che cambia ogni 30 secondi generato da un'app sul telefono: chi non ha anche il tuo telefono, anche con la password giusta, resta fuori.

1. Scegli una password lunga e senza senso, o generata da un gestore di password (vedi la guida correlata più sotto).
2. Installa un plugin di sicurezza con autenticazione a due fattori incorporata (vedi la sezione "Un plugin di sicurezza gratuito") oppure un plugin dedicato come WP 2FA.
3. Attivala per ogni utente con ruolo Amministratore, non solo per il tuo account: un secondo amministratore con password debole vale come una porta aperta.
4. Mentre ci sei, se il tuo nome utente è ancora admin (il primo nome che un attacco automatico prova), cambialo: da WordPress non si può, il campo nome utente nel profilo è bloccato per tutti. Si fa creando un nuovo amministratore con un altro nome utente e cancellando poi quello vecchio (riassegnando i contenuti al nuovo account quando WordPress lo chiede), oppure con un plugin dedicato.

Meno plugin possibile, e solo da fonti affidabili

Ogni plugin che installi è codice scritto da qualcun altro che gira sul tuo sito con pieni poteri: più ne hai, più punti deboli possibili hai, anche se non li usi mai davvero.

Non è un modo di dire: i numeri del database ufficiale di Patchstack — un'azienda di sicurezza che assegna essa stessa numeri CVE per WordPress e tiene il conto, su tutta la storia del progetto — dicono che il nucleo di WordPress pesa per una minima parte delle vulnerabilità mai registrate (361 su oltre 46mila), mentre i plugin ne concentrano circa 9 su 10. Il problema quasi sempre non è WordPress: sono i pezzi aggiunti.

1. Apri Plugin → Plugin installati e disinstalla (non solo disattiva) tutto quello che non usi davvero.
2. Scarica plugin nuovi solo dal repository ufficiale (wordpress.org/plugins) o da aziende conosciute: la documentazione ufficiale lo dice esplicitamente, mai da fonti non fidate.
3. Prima di installarne uno, guarda nella sua pagina quante installazioni attive ha e quando è stato aggiornato l'ultima volta: pochi download e nessun aggiornamento da anni sono due segnali di un plugin che nessuno controlla più.

Backup regolari e verificati

Tutti gli accorgimenti di questa guida riducono il rischio di essere attaccati, ma nessuno lo porta a zero. Il backup è quello che decide cosa succede quando, non se, un attacco va a segno: con un backup buono ripristini il sito in pochi minuti, senza perderne mesi di lavoro.

La documentazione ufficiale di WordPress lo mette fra le prime regole di sicurezza: backup regolari, compreso il database MySQL (dove stanno i testi degli articoli, non solo i file).

1. Usa un plugin di backup (molti dei plugin di sicurezza lo includono) che salvi sia i file sia il database, con una copia fuori dal server stesso — su un cloud o uno spazio esterno.
2. Programma un backup almeno settimanale se il sito cambia poco, giornaliero se pubblichi spesso o vendi online.
3. Verificalo almeno una volta: scarica una copia e controlla che si apra. Un backup che non hai mai provato a usare è una promessa, non una certezza.

Un plugin di sicurezza gratuito

Wordfence Security è uno dei plugin di sicurezza più usati per WordPress, ed è davvero gratuito nella sua versione base — verificato sulla sua pagina ufficiale nel repository di WordPress, non su una guida di terzi che potrebbe essere vecchia.

La versione gratuita include un firewall che blocca il traffico sospetto, uno scanner che confronta i file del sito con gli originali per trovare codice estraneo, l'autenticazione a due fattori di cui si parlava sopra, e un blocco dei tentativi di accesso ripetuti. Il limite della versione gratuita: le nuove regole del firewall e le nuove firme dei malware arrivano con 30 giorni di ritardo rispetto a chi paga la versione Premium — indicata a 149 dollari l'anno per un sito da più pagine di recensione indipendenti (la pagina prezzi ufficiale di Wordfence è dinamica e non si è letta direttamente in questa sessione) — per un sito piccolo, gestito con gli altri accorgimenti di questa guida, è comunque una protezione reale.

1. Installa Wordfence Security dal repository ufficiale (Plugin → Aggiungi plugin, cerca "Wordfence").
2. Al primo avvio, lancia la scansione completa del sito: segnala file modificati o sospetti rispetto agli originali.
3. Attiva l'autenticazione a due fattori dal suo pannello per tutti gli amministratori.

Cos'è una CVE, e perché WordPress ne ha sempre di nuove

Quando leggi un annuncio di sicurezza vedi spesso una sigla come "CVE-2026-12345". CVE sta per Common Vulnerabilities and Exposures: è, in pratica, la "scheda" ufficiale di un difetto trovato in un programma, con un numero che la identifica in modo univoco in tutto il mondo. Il numero non dice da solo quanto è grave: per quello si guarda il suo punteggio di rischio, di solito indicato a parte.

Perché WordPress "ne ha sempre di nuove" non è un difetto di WordPress in sé: è una conseguenza della sua diffusione. WordPress fa girare una grande parte dei siti del mondo, con decine di migliaia di plugin diversi scritti da autori diversi: più codice in circolazione, più occhi (anche malintenzionati) che lo guardano, più difetti trovati e registrati.

I numeri del database ufficiale di Patchstack lo confermano: il nucleo di WordPress ha accumulato 361 vulnerabilità in tutta la sua storia, i temi 3.408, i plugin 42.251 — circa 9 su 10 del totale. Lo stesso Patchstack, solo nel 2025, ne ha registrate 11.241 nuove per l'ecosistema WordPress, in crescita del 41% sull'anno precedente (7.968 nel 2024), e nel 2026, al 2 novembre, ne conta già 11.177: un numero enorme, ma quasi tutto concentrato nei plugin di terzi, non nel programma principale.