Salta al contenuto
Torna al blog
Sicurezza 9 min di lettura

Sicurezza WordPress 2026: checklist per piccole attività

Checklist sicurezza WordPress 2026 per siti aziendali: aggiornamenti, plugin abbandonati, utenti, 2FA, backup, permessi dei file, firewall e scansioni.

Per proteggere un sito WordPress nel 2026 servono poche abitudini fatte con costanza: aggiornare WordPress, plugin e temi, eliminare i plugin che non usi o che nessuno mantiene più, dare a ogni persona solo i permessi che le servono, attivare la verifica in due passaggi per chi amministra, avere backup completi conservati in più posti e mettere un filtro davanti al sito che blocchi il traffico malevolo. Il punto debole, quasi sempre, non è WordPress in sé ma quello che ci installiamo sopra.

Questa checklist è scritta per chi ha un sito aziendale e non fa lo sviluppatore di mestiere. Alcuni punti li puoi controllare da solo in dieci minuti, altri conviene farli fare a chi gestisce il sito. Le fonti sono in fondo.

Perché il problema sono i plugin

Patchstack, un'azienda specializzata nella sicurezza di WordPress, pubblica ogni anno un rapporto sulle vulnerabilità scoperte, cioè i difetti che permettono a qualcuno di entrare dove non dovrebbe. Il rapporto "State of WordPress Security in 2026", uscito il 25 febbraio 2026 con i dati del 2025, riporta che:

  • nel 2025 sono state trovate 11.334 nuove vulnerabilità nell'ecosistema WordPress, il 42% in più rispetto al 2024
  • il 91% riguardava i plugin e il 9% i temi, mentre nel nucleo di WordPress ne sono state segnalate 6, tutte a bassa priorità
  • nel 46% dei casi lo sviluppatore non aveva ancora pubblicato una correzione al momento in cui la vulnerabilità è stata resa pubblica
  • per le vulnerabilità più sfruttate, il tempo mediano (ponderato) tra la pubblicazione e il primo attacco è stato di 5 ore

Patchstack vende servizi di protezione, quindi ha interesse a sottolineare il problema. Ma il senso è chiaro: ogni plugin installato è una porta in più da tenere chiusa.

Anche OWASP, la fondazione che pubblica la classifica dei rischi più diffusi per le applicazioni web, nella versione 2025 della sua Top 10 mette al terzo posto i problemi legati ai componenti di terze parti. Tra i segnali di rischio indica proprio l'uso di software vulnerabile, non più supportato o non aggiornato, e l'assenza di controlli periodici.

La checklist

1. Aggiornamenti: WordPress, plugin, temi e PHP

La guida ufficiale di WordPress sulla sicurezza è netta: bisogna tenere il sito sempre aggiornato all'ultima versione, perché le versioni vecchie non ricevono correzioni di sicurezza.

Cosa fare in pratica:

  • attiva gli aggiornamenti automatici dei plugin affidabili. Sono disponibili da WordPress 5.5: nella schermata Plugin trovi un comando per attivarli plugin per plugin. WordPress controlla gli aggiornamenti due volte al giorno e ti avvisa per email quando ne ha installato uno o quando qualcosa è andato storto
  • prima di attivarli, assicurati di avere un backup da cui ripartire. Lo consiglia la stessa documentazione di WordPress
  • controlla la versione di PHP, il linguaggio su cui gira WordPress. Oggi WordPress raccomanda PHP 8.3 o successivo; le versioni più vecchie non ricevono più aggiornamenti di sicurezza. Si cambia dal pannello dell'hosting, meglio dopo una prova su una copia del sito
  • apri ogni tanto Strumenti > Salute del sito: segnala problemi di configurazione, compresi gli aggiornamenti automatici che non partono

2. Plugin abbandonati o chiusi

Un plugin che nessuno aggiorna più non riceverà correzioni quando ci troveranno un difetto. La directory ufficiale di WordPress.org aiuta a riconoscerli:

  • se un plugin non è stato testato con le ultime 3 versioni principali di WordPress, la sua pagina mostra un avviso giallo che dice che potrebbe non essere più mantenuto
  • se un plugin è stato chiuso, la pagina lo dice e non si può più scaricare. Dopo 60 giorni l'avviso spiega anche il motivo, e tra i motivi possibili c'è "Security Issue", cioè un problema di sicurezza

Cosa fare:

  • apri la pagina di ogni plugin che usi e cerca questi avvisi
  • disattiva ed elimina i plugin che non usi. Un plugin disattivato ma ancora presente sul server resta un file che qualcuno può provare a sfruttare. La guida di WordPress chiede di cancellare quelli inutilizzati, e OWASP dà lo stesso consiglio in generale: togliere componenti e funzioni che non servono
  • per i plugin a pagamento comprati fuori dalla directory ufficiale, controlla sul sito del produttore la data dell'ultimo aggiornamento e che la licenza sia attiva. Senza licenza spesso non arrivano gli aggiornamenti
  • scarica plugin e temi solo da fonti ufficiali. Le copie "gratuite" di plugin a pagamento sono un modo classico per infilare codice malevolo in un sito

3. Utenti e amministratori

WordPress ha ruoli diversi. In breve, secondo la documentazione ufficiale:

  • Amministratore: accesso a tutto
  • Editore: pubblica e gestisce i contenuti, anche quelli degli altri
  • Autore: pubblica e gestisce i propri articoli
  • Collaboratore: scrive i propri articoli ma non li pubblica
  • Sottoscrittore: gestisce solo il proprio profilo

La regola è dare a ciascuno il ruolo più basso con cui riesce a lavorare. Chi scrive gli articoli del blog non ha bisogno di essere amministratore.

Controlla anche:

  • nessun utente chiamato "admin". La guida di WordPress contro i tentativi di accesso a forza di password consiglia di non usarlo e di creare un amministratore con un altro nome
  • nessun account di ex dipendenti, ex agenzie o ex collaboratori. Se il rapporto è finito, l'accesso va tolto
  • password lunghe e uniche per ogni persona, meglio se generate con un gestore di password. Account condivisi tra più persone rendono impossibile capire chi ha fatto cosa

4. Verifica in due passaggi (2FA)

Con la verifica in due passaggi, oltre alla password serve un codice temporaneo, di solito generato da un'app sul telefono. Se qualcuno ruba la password, senza il telefono non entra.

La documentazione di WordPress raccomanda di attivarla per tutti gli amministratori e per gli utenti con permessi importanti. Un'opzione è il plugin Two Factor, presente nella directory ufficiale, che supporta le app di autenticazione, i codici via email e i codici di emergenza da conservare in un posto sicuro nel caso si perda il telefono.

5. Backup

Un backup serve a una cosa sola: poter tornare indietro. Secondo la guida di WordPress:

  • un backup completo ha due parti, il database e i file: senza entrambi il sito non si ripristina
  • per un sito piccolo può bastare una volta a settimana, per uno molto attivo serve ogni giorno
  • conviene tenere almeno 3-5 copie recenti in posti diversi, per esempio una sull'hosting, una su un servizio cloud e una sul tuo computer

Aggiungo due cose dalla mia esperienza. Una copia che sta solo sullo stesso server del sito non basta: se il server ha un problema, perdi entrambi. E un backup che non hai mai provato a ripristinare è una speranza, non un backup. Almeno una volta, fatti mostrare che il ripristino funziona.

6. Permessi dei file

Ogni file sul server ha dei permessi che dicono chi può leggerlo e chi può modificarlo. La guida ufficiale indica come punto di partenza:

  • 755 per le cartelle e 644 per i file: il proprietario può modificarli, gli altri solo leggerli
  • 400 o 440 per wp-config.php, il file che contiene la password del database

Non è un'operazione da fare a caso: su alcuni hosting la configurazione richiede valori diversi, e un permesso sbagliato può bloccare il sito. Chiedi a chi lo gestisce di verificarli.

7. Rinforzare wp-config.php

wp-config.php è il file di configurazione principale. Con poche righe si chiudono alcune porte:

  • disattivare l'editor di file nel pannello con l'impostazione DISALLOW_FILE_EDIT. Di serie WordPress permette di modificare il codice di plugin e temi direttamente dalla bacheca: comodo, ma se qualcuno entra con un account amministratore può usarlo per inserire codice malevolo
  • forzare la connessione protetta nell'area di amministrazione con FORCE_SSL_ADMIN, così password e dati di accesso non viaggiano mai in chiaro
  • usare un prefisso delle tabelle diverso da quello predefinito "wp_" nelle nuove installazioni, come suggerisce la guida di WordPress. Su un sito già online cambiarlo è un intervento delicato: non farlo senza un backup e senza qualcuno che sappia cosa sta facendo
  • controllare che la modalità di debug sia spenta sul sito pubblico. Serve durante lo sviluppo e di serie è disattivata, ma a volte resta accesa dopo un intervento

8. Un firewall davanti al sito (WAF)

Un WAF, dall'inglese Web Application Firewall, è un filtro che esamina le richieste prima che arrivino al sito e blocca quelle sospette. Esiste come plugin installato dentro WordPress oppure come servizio esterno che si mette tra i visitatori e il server, come Cloudflare o Sucuri, citati anche dalla guida ufficiale.

Secondo la documentazione di WordPress, un WAF gestito può bloccare i tentativi automatici di accesso e limitare il numero di richieste alla pagina di login (wp-login.php) e a xmlrpc.php, un file che permette ad altri programmi di collegarsi al sito e che viene spesso usato per tentare password in serie.

Non affidarti solo alle protezioni generiche dell'hosting. Nel rapporto 2026 citato sopra, Patchstack racconta di aver provato attacchi contro siti su diversi hosting: nella prova più ampia le difese tradizionali hanno bloccato solo il 26% degli attacchi, e nella prova limitata alle vulnerabilità specifiche di WordPress già sfruttate in rete appena il 12%. Vale la cautela sulla fonte già detta, ma un filtro pensato per WordPress aiuta soprattutto nelle ore in cui una correzione non esiste ancora.

9. Scansione con WPScan

WPScan è uno strumento per chi gestisce siti WordPress: analizza il sito dall'esterno, individua versione di WordPress, plugin e temi installati, elenca gli utenti visibili e, collegandosi al suo database di vulnerabilità, segnala i componenti con problemi noti.

Due informazioni utili:

  • il piano gratuito del servizio concede 25 richieste al giorno al database delle vulnerabilità ed è pensato per uso non commerciale. Chi lo usa per lavoro su siti di clienti deve controllare le condizioni di licenza
  • va usato solo su siti tuoi o su cui hai un'autorizzazione scritta. Scansionare il sito di altri senza permesso non è una buona idea, né tecnicamente né legalmente

Il risultato che ti interessa è un elenco dei componenti con vulnerabilità note e della versione che le corregge: chiedi a chi gestisce il sito di mostrartelo.

Se pensi che il sito sia già stato attaccato

Pagine che rimandano ad altri siti, utenti amministratori che non conosci, avvisi di Google o dell'hosting: sono segnali da non ignorare. Non cancellare tutto di corsa. Cambia le password, avvisa l'hosting e fatti aiutare a capire da dove sono entrati, altrimenti dopo la pulizia rientrano dalla stessa porta.

Mi occupo di sicurezza delle applicazioni web anche fuori da WordPress: su questa pagina spiego come lavoro, e qui trovi i dettagli sulla gestione e manutenzione dei siti WordPress. Se hai un sito in Friuli Venezia Giulia o in Veneto e vuoi un controllo su questi punti, scrivimi e ti dico con franchezza cosa sistemerei per primo.

Fonti

Torna al blog Scrivimi

Seleziona lingua

IT EN