Vulnerabilità plugin WordPress: cosa fare ora

Indice

• Cosa è successo al plugin All in One SEO
• Le due falle spiegate senza gergo
• Perché le vulnerabilità dei plugin WordPress ti riguardano
• Cosa fare oggi: controllo e aggiornamento in 15 minuti
• Audit dei plugin: come decidere cosa tenere
• Come ridurre il rischio nel tempo
• Domande frequenti

Questa settimana sono state rese pubbliche due vulnerabilità del plugin WordPress All in One SEO, installato su oltre due milioni di siti. Se il tuo sito usa questo plugin, la cosa da fare è una sola e richiede pochi minuti: aggiornare alla versione 5.0.2.1 o successiva. Se invece non lo usi, vale comunque la pena leggere, perché la lezione vale per qualunque plugin: un componente installato e dimenticato è una porta lasciata socchiusa.

Cosa è successo al plugin All in One SEO

All in One SEO è uno dei plugin più diffusi per gestire sitemap XML, dati strutturati, redirect e analisi dei contenuti. Proprio perché è così presente, ogni sua falla fa notizia. Secondo quanto riportato dalla stampa di settore, i ricercatori hanno individuato due problemi distinti, entrambi classificati con gravità media, e gli sviluppatori hanno già pubblicato le correzioni.

I numeri essenziali:

• una falla di tipo esecuzione arbitraria di shortcode (indicata come CVE-2026-100152, punteggio 6,5), che riguarda tutte le versioni fino alla 5.0.2 inclusa;
• una falla di tipo cross-site scripting basato su DOM (CVE-2026-85492, punteggio 6,1), che riguarda le versioni fino alla 5.0.1.1 inclusa;
• la correzione della seconda è arrivata con la versione 5.0.2, quella della prima con la 5.0.2.1.

Tradotto: chi ha la 5.0.2.1 o una versione più recente è coperto da entrambe. Chi ha una versione precedente dovrebbe aggiornare oggi, non "alla prossima manutenzione".

Le due falle spiegate senza gergo

Shortcode eseguibili da chiunque. Gli shortcode sono comandi che WordPress trasforma in elementi dinamici della pagina, come un modulo o una galleria. Nella prima falla, un visitatore anonimo poteva far eseguire uno shortcode al sito senza avere un account. Il rischio concreto dipende però da una condizione precisa: i breadcrumb (le "briciole di pane" di navigazione) devono essere visualizzati nella pagina dei risultati di ricerca interna. Se sul tuo sito non è così, l'esposizione cala molto. Ma affidarsi a una condizione di configurazione come difesa non è una strategia: l'aggiornamento resta la risposta giusta.

Script malevolo nel pannello di anteprima. La seconda falla è più subdola. Un attaccante può preparare un indirizzo costruito ad arte, ma per fare danni serve che una persona con il permesso di gestione SEO apra proprio quell'indirizzo e poi la scheda di anteprima SEO nell'area di amministrazione. È un attacco che richiede la collaborazione involontaria di un amministratore o di un redattore, tipicamente tramite un messaggio di phishing. Per questo è difficile da sfruttare in massa, ma non per un attacco mirato a un'azienda specifica.

Perché le vulnerabilità dei plugin WordPress ti riguardano

Il punto non è questo singolo plugin. Un sito WordPress tipico di una PMI ha tra i 15 e i 30 plugin attivi, ognuno scritto da un team diverso, ognuno con i suoi ritmi di correzione. Ogni plugin è codice in più che gira sul tuo server e che può contenere errori. Le falle di gravità "media", come queste, non fanno rumore, ma sono quelle che si accumulano nel tempo se nessuno controlla.

Le conseguenze per un'attività sono molto pratiche:

• Sito compromesso o reindirizzato, con pagine spam che compaiono su Google al posto delle tue.
• Perdita di posizionamento: Google può segnalare il sito come non sicuro o declassarlo. Ne ho parlato nell'articolo sul Google Spam Update di settembre 2026, dove contenuti iniettati da terzi sono uno dei rischi principali.
• Dati dei clienti esposti, con implicazioni anche sul fronte privacy.
• Costi di ripristino quasi sempre superiori al costo di una manutenzione regolare. Se vuoi capire cosa rischi nel concreto, leggi cosa succede senza manutenzione WordPress.

Cosa fare oggi: controllo e aggiornamento in 15 minuti

Se il tuo sito è su WordPress, ecco la sequenza che consiglio.

1. Fai un backup completo (file e database) prima di toccare qualunque cosa. Se il tuo hosting lo offre in automatico, verifica che l'ultimo sia recente.
2. Controlla se usi All in One SEO. Dalla bacheca di WordPress apri Plugin, Plugin installati, e cerca il nome. Annota la versione.
3. Aggiorna alla 5.0.2.1 o successiva. Se l'aggiornamento non compare, forza il controllo dalla pagina Aggiornamenti.
4. Verifica che il sito funzioni: homepage, un articolo, il modulo contatti, il carrello se hai un e-commerce.
5. Rivedi i permessi. La capacità di gestire la SEO deve essere assegnata solo a chi ne ha davvero bisogno. Meno utenti con privilegi elevati significa meno bersagli per il phishing.
6. Controlla le briciole di pane nelle pagine di ricerca interna del tema: se non servono, toglile.

Se qualcosa non torna dopo l'aggiornamento, non improvvisare: ripristina il backup e chiedi supporto.

Audit dei plugin: come decidere cosa tenere

Dopo una notizia come questa conviene dedicare un'ora a un audit dei plugin, una volta sola, per poi mantenerlo nel tempo. Io lo faccio con quattro domande per ogni plugin installato:

1. Serve ancora? Se la funzione è stata sostituita da altro, o non la usa più nessuno, il plugin va eliminato. Un plugin disattivato resta comunque sul server e i suoi file possono essere raggiunti.
2. È mantenuto? Guarda la data dell'ultimo aggiornamento nella scheda del plugin. Se è fermo da oltre un anno, cerca un'alternativa prima che emerga una falla senza correzione.
3. Fa cose che il tema o WordPress già fanno? Molti siti hanno due o tre plugin con funzioni sovrapposte, per esempio sitemap generate sia dal plugin SEO sia da un altro strumento. Ogni sovrapposizione è codice in più da tenere aggiornato.
4. Cosa succede se smette di funzionare? Per i plugin che toccano checkout, moduli o SEO serve un piano: chi se ne accorge, e quanto tempo servirebbe per ripristinare.

Un audit fatto bene riduce spesso il numero di plugin di un terzo e rende anche il sito più veloce. Se la visibilità su Google è la tua preoccupazione principale, un sito pulito e aggiornato è la base: lo stesso principio vale quando il sito non si trova su Google per cause tecniche. Se invece vuoi una strategia SEO che non dipenda da una pila di plugin fragili, puoi partire dalla pagina dedicata alla SEO.

Come ridurre il rischio nel tempo

Aggiornare quando esce una notizia è il minimo. Quello che protegge davvero un'attività è un processo regolare:

• Inventario dei plugin: una lista aggiornata di cosa è installato, a cosa serve e chi lo mantiene. Quello che non serve si elimina, non si disattiva soltanto.
• Aggiornamenti pianificati, con backup automatico prima e controllo del sito dopo, ogni settimana o ogni due settimane.
• Plugin scelti con criterio: sviluppo attivo, aggiornamenti recenti, numero di installazioni significativo. Un plugin abbandonato è un rischio fisso.
• Utenti e password sotto controllo: autenticazione a due fattori per amministratori e redattori, account dismessi rimossi.
• Monitoraggio: un avviso se il sito va offline o se compaiono pagine che non hai creato.

Quando un sito dipende da molti plugin e nessuno ha tempo di seguirli, a volte la risposta è cambiare approccio. Nel confronto tra WordPress o sito custom spiego quando conviene una struttura con meno dipendenze esterne. E se vuoi un sito costruito e mantenuto con queste attenzioni fin dall'inizio, trovi come lavoro nella pagina dei servizi per siti web.

Domande frequenti

Come faccio a sapere se il mio sito usa All in One SEO?

Accedi alla bacheca di WordPress e apri la sezione Plugin, poi Plugin installati. Se vedi "All in One SEO" nell'elenco, controlla il numero di versione sotto il nome. Se è inferiore alla 5.0.2.1, aggiorna subito dopo aver fatto un backup completo del sito.

Le vulnerabilità di gravità media sono davvero pericolose?

Sì, possono esserlo. Una gravità media indica che lo sfruttamento richiede condizioni particolari, non che il rischio sia nullo. Gli attaccanti combinano spesso più falle minori e puntano a siti che non aggiornano da mesi. Correggere subito costa pochi minuti, rimediare a un sito compromesso molto di più.

Aggiornare un plugin può rompere il sito?

Può succedere, soprattutto se tema o altri plugin sono vecchi. Per questo conviene fare sempre un backup prima e controllare le pagine principali dopo. Con un ambiente di prova (staging) i rischi si riducono ulteriormente, perché l'aggiornamento viene verificato prima di arrivare al sito reale.

Ogni quanto vanno aggiornati i plugin di WordPress?

Un controllo settimanale è una buona base per una PMI, con aggiornamenti immediati quando esce un avviso di sicurezza. Gli aggiornamenti automatici vanno bene per i plugin semplici, mentre per quelli che toccano checkout, moduli o SEO è meglio verificare il risultato.

Quanti plugin dovrebbe avere un sito WordPress?

Non esiste un numero giusto, conta quanto ciascun plugin serve davvero. Un sito aziendale ben tenuto sta spesso sotto i 15 plugin attivi. Ogni plugin in più aumenta la superficie di attacco e il lavoro di aggiornamento, quindi ognuno deve avere una funzione chiara e uno sviluppatore ancora attivo.

Un plugin di sicurezza basta a proteggere il sito?

No. Un plugin di sicurezza aiuta con firewall e scansioni, ma non sostituisce aggiornamenti, backup, permessi corretti e un hosting affidabile. È uno strato in più, non la soluzione completa, e a sua volta è un plugin che va tenuto aggiornato.