WordPress alimenta quasi metà del web, il che lo rende la piattaforma più presa di mira su internet. Nel 2025 lo scenario delle minacce è cambiato in modi che hanno messo in difficoltà la maggior parte delle strategie di sicurezza convenzionali: il numero di vulnerabilità è salito bruscamente, i tempi di sfruttamento si sono ridotti a poche ore e il malware è diventato più bravo a sopravvivere alla pulizia.
Questa panoramica usa i dati di sicurezza del 2025 per mostrare ai proprietari di siti WordPress e WooCommerce i rischi reali a cui sono esposti i loro siti e i passi concreti per chiudere le falle.
Quanto sono peggiorate le vulnerabilità di WordPress nel 2025?
11,334+42%
Nuove vulnerabilità
Individuate nell’ecosistema WordPress nel 2025, in aumento rispetto all’anno precedente.
4,124Intervento necessario
Mitigazione richiesta
Abbastanza gravi da richiedere una mitigazione attiva.
1,966Gravità alta
Rischio di sfruttamento di massa
Più problemi ad alta gravità che nei due anni precedenti messi insieme.
Non è una tendenza graduale. È una netta accelerazione dell’attenzione degli attaccanti verso WordPress.
Da dove arrivano le vulnerabilità
Plugin91%
Di tutte le vulnerabilità segnalate di recente.
Temi9%
Il resto delle nuove segnalazioni.
Core di WordPress6 problemi
Tutti a bassa priorità. Il problema non è il core, ma i livelli di terze parti costruiti sopra.
I plugin premium sono davvero più sicuri?
No. I componenti premium sono spesso il punto cieco più grande. Un’analisi mirata dei componenti venduti sui marketplace premium, compresi quelli distribuiti tramite Envato, ha rilevato:
- Quasi 2.000 segnalazioni valide per componenti premium o freemium: il 29% di tutte le segnalazioni.
- 76% delle vulnerabilità nei componenti premium erano sfruttabili in attacchi reali.
- 3× vulnerabilità sfruttate note in più rispetto ai componenti gratuiti.
- 33 zero-day critici nei componenti premium, contro 12 in quelli gratuiti.
Non è che i plugin premium siano sviluppati con meno cura. I ricercatori hanno un accesso limitato al codice a pagamento, quindi lo esaminano meno persone. Meno controlli significano meno consapevolezza del rischio, non meno rischio.
Quante sono state corrette prima della divulgazione?
Solo il 54%. L’altro 46% è stato reso pubblico prima che lo sviluppatore rilasciasse una correzione, spesso consegnando i dettagli agli attaccanti prima che i proprietari dei siti avessero qualcosa da installare. Gli aggiornamenti dei plugin non possono essere la Sua unica strategia di sicurezza quando quasi metà delle falle divulgate non ha ancora una patch.
Quanto si muovono rapidamente gli attaccanti dopo la divulgazione
Più rapidamente della maggior parte dei cicli di aggiornamento. Per le vulnerabilità più prese di mira, il tempo mediano ponderato tra divulgazione e sfruttamento attivo è stato di cinque ore, e circa metà delle vulnerabilità ad alto impatto è stata sfruttata entro 24 ore: proprio quando la maggior parte degli amministratori non ne è ancora al corrente o non ha ancora applicato la patch.
Cosa viene sfruttato di più
Il broken access control è in cima alla lista del 2025. È difficile da contrastare perché gli attacchi sembrano normale attività di utenti autenticati, senza stringhe di iniezione evidenti che un firewall tradizionale possa intercettare. Altre classi molto sfruttate:
- Cross-site scripting persistente non autenticato
- Upload di file non autenticato
- Aggiramento dell’autorizzazione
- Escalation dei privilegi
- PHP object injection
Tra i dieci obiettivi più colpiti ci sono anche plugin WooCommerce, tra cui una escalation dei privilegi di WooCommerce Payments del 2023 ancora sfruttata sui negozi non aggiornati.
Quanto reggono le difese standard dell’hosting?
Non abbastanza. I penetration test condotti su diversi provider di hosting hanno rilevato che le configurazioni standard, inclusi WAF interni e Cloudflare, hanno bloccato solo il 26% dei tentativi di exploit su WordPress, e appena il 12% contro le vulnerabilità sfruttate note. Le regole WAF generiche gestiscono abbastanza bene gli attacchi generici, ma non intercettano le classi specifiche di WordPress dietro la maggior parte degli exploit reali.
Cosa succede dopo che un sito è stato compromesso
Perché oggi il malware è più difficile da rimuovere
Sempre più spesso gli attaccanti iniettano codice in file legittimi del core, dei plugin o dei temi invece di caricare file dannosi a sé stanti. Poiché il file di base è legittimo, gli scanner basati sull’eliminazione lo segnalano in modo incoerente o non lo rilevano affatto, e cancellarlo rompe il sito. Oggi la pulizia richiede di rimuovere chirurgicamente il frammento da un file altrimenti valido.
C’è un andamento stagionale
Gli upload di file dannosi sono quasi triplicati tra novembre e dicembre 2025. Il quarto trimestre unisce picchi di traffico e personale ridotto, quindi gli attaccanti rischiano meno di essere scoperti in fretta. I negozi con promozioni natalizie si trovano nella finestra più rischiosa dell’anno, con il minor numero di persone disponibili a intervenire.
Le famiglie di malware più attive nel 2025
Tecnica di elusioneTocchi per aprire
Distribuzione selettiva dei contenuti
Campagne come Japanese SEO spam, jgalls e Parrot TDS mostrano contenuti diversi a visitatori diversi: spam ai crawler dei motori di ricerca, redirect di phishing agli utenti reali, pagine pulite ai proprietari e agli scanner. Parrot TDS ora rileva anche i crawler che addestrano l’AI. Spesso ce ne si accorge solo quando i clienti si lamentano o il traffico organico crolla.
Persistenza in memoria
Lock360 gira nella memoria del server, non nei file. Si ripuliscono index.php o .htaccess e il processo riscrive subito il codice dannoso. Il ciclo continua finché il processo in memoria non viene terminato, cosa che la maggior parte degli scanner standard non è in grado di fare.
Infrastruttura di uploader
Gli script uploader sono quasi raddoppiati a giugno 2025 e sono rimasti a livelli elevati. Permettono agli attaccanti di distribuire nuovi payload a piacimento, quindi un sito ripulito da un’infezione può essere reinfettato tramite un uploader dormiente sopravvissuto.
Lo scenario all’ingresso nel 2026
Lo sviluppo assistito dall’AI sta accelerando la produzione di plugin personalizzati: le agenzie generano funzionalità su richiesta e abbinano front end React creati con l’AI a un backend WordPress. Questo estende la superficie di attacco oltre core, plugin e temi, fino a componenti personalizzati, pacchetti JavaScript e dipendenze PHP che gli scanner WordPress standard non sono stati progettati per valutare.
Gli stessi strumenti di AI che costruiscono siti più velocemente aiutano anche gli attaccanti a trovare e sfruttare le debolezze in autonomia.
Inoltre, il Cyber Resilience Act dell’UE spinge i produttori di plugin commerciali ad adottare programmi formali di divulgazione delle vulnerabilità. La maggior parte non ha ancora le risorse per gestire grandi volumi di segnalazioni, con il rischio di allargare il divario tra la scoperta di una falla e la disponibilità di una patch.
Cosa dovrebbero fare subito i proprietari di negozi online
A che punto è il Suo negozio?0 su 6 attivi
Spunti ciò che il Suo negozio ha già in atto oggi.
Richieda un audit gratuitoIn sintesi: la sicurezza WordPress nel 2026
I fondamentali non sono cambiati: mantenere il software aggiornato, limitare la proliferazione dei plugin e usare credenziali robuste. Ciò che è cambiato è che da soli non bastano più.
Gli exploit arrivano nel giro di poche ore. Il malware è costruito per sopravvivere alla pulizia standard. I plugin premium nascondono rischi. E i componenti generati dall’AI continuano ad ampliare la superficie di attacco.
Nel 2026 una sicurezza efficace significa mitigazione automatica che si attiva nelle prime ore dopo la divulgazione, rilevamento a livello di server in grado di trovare minacce iniettate e residenti in memoria, e piena visibilità su ogni componente del sito. Tratti la sicurezza come un processo continuo, non come una pulizia dopo che qualcosa è andato storto.
