Home › Come proteggere un sito WordPress dagli attacchi: guida pratica

Come proteggere un sito WordPress dagli attacchi: guida pratica

Per capire come proteggere un sito WordPress dagli attacchi bastano quattro regole: aggiornare di continuo core, plugin e temi, proteggere gli accessi con password uniche e autenticazione a due fattori, mantenere backup testati e ridurre la superficie esposta eliminando ciò che non serve. Il resto sono dettagli di configurazione e verifica. Vediamoli uno per uno.

Perché i siti WordPress sono un bersaglio frequente

WordPress è molto diffuso, e questo lo rende interessante per chi attacca. Gli aggressori usano strumenti automatici che scansionano migliaia di siti alla ricerca della stessa versione vulnerabile di un plugin, senza sapere chi c'è dietro.

Il nucleo di WordPress è mantenuto con attenzione. I problemi nascono più spesso dall'ecosistema intorno: plugin abbandonati, temi scaricati da fonti poco affidabili, utenti con permessi eccessivi e server configurati male.

Per una PMI milanese il danno non è solo tecnico. Un sito compromesso può perdere posizionamento, finire segnalato dai browser, diffondere malware ai clienti o servire da porta d'ingresso verso altri sistemi aziendali. Per un quadro più ampio puoi leggere la nostra guida su cosa sono le vulnerabilità informatiche e come vengono sfruttate.

Come proteggere un sito WordPress dagli attacchi: le misure essenziali

Non esiste una singola impostazione che renda un sito invulnerabile. Funziona invece una serie di misure semplici, applicate con costanza.

1. Aggiornamenti sotto controllo

Ogni aggiornamento di sicurezza chiude falle già note, e quelle falle sono le prime a essere sfruttate. Tieni aggiornati il core, i plugin, i temi e anche la versione di PHP usata dal server.

Su siti importanti conviene provare gli aggiornamenti in un ambiente di test prima di applicarli, per evitare conflitti. Rimandare per settimane è però un rischio concreto.

2. Accessi e permessi

Le credenziali deboli restano una delle strade più semplici. Se vuoi approfondire il tema, vedi anche come difendersi da un attacco brute force, ma sappi che alcune regole di base bastano già a ridurre molto il rischio.

• Password lunghe e uniche, gestite con un password manager.
• Autenticazione a due fattori per tutti gli account con permessi elevati.
• Limite ai tentativi di login e, se possibile, restrizione dell'area di amministrazione.
• Nessun utente chiamato "admin" e ruoli assegnati secondo il principio del minimo privilegio.
• Eliminazione degli account di ex collaboratori e fornitori.

3. Plugin e temi: meno è meglio

Ogni plugin installato è codice in più che può contenere errori. Disattivare un plugin non basta: se non lo usi, rimuovilo. Prima di installarne uno nuovo verifica la data dell'ultimo aggiornamento, la compatibilità con la tua versione di WordPress, le recensioni e la reputazione dello sviluppatore.

Evita temi e plugin "nulled", cioè versioni piratate di prodotti a pagamento: sono un veicolo classico per backdoor e malware.

4. Backup che funzionano davvero

Il backup è la tua assicurazione contro un attacco ransomware o una compromissione grave. Deve includere file e database, essere conservato fuori dal server principale e, soprattutto, essere provato: una copia che non si ripristina non serve.

5. Hardening di server e configurazione

Alcune scelte tecniche riducono la superficie d'attacco. Usa HTTPS ovunque, mantieni permessi corretti sui file, disattiva l'editor di file integrato nel pannello se non serve e blocca l'esecuzione di codice nelle cartelle di upload. Valuta l'uso di un web application firewall e verifica con il tuo hosting quali protezioni sono già attive.

Le vulnerabilità più sfruttate nei siti WordPress

Conoscere le tecniche aiuta a capire perché certe regole contano. Dietro molte compromissioni c'è una vulnerabilità di un plugin o di un tema, e la differenza con l'exploit è semplice: la vulnerabilità è il difetto, l'exploit è il metodo che lo sfrutta.

SQL injection

Si verifica quando un input dell'utente, per esempio un campo di ricerca o un modulo, viene inserito in una query al database senza controlli adeguati. L'aggressore può leggere, modificare o cancellare dati. La difesa passa da codice che usa query parametrizzate, da aggiornamenti tempestivi e da un firewall applicativo come strato aggiuntivo.

Cross site scripting (XSS)

Con il cross site scripting un malintenzionato riesce a far eseguire uno script nel browser di un visitatore o di un amministratore. Un esempio tipico è un commento o un campo di un modulo che mostra il contenuto senza filtrarlo. La prevenzione si basa su validazione e codifica dell'output, e su plugin sviluppati con attenzione alla sicurezza.

Privilege escalation

La privilege escalation consiste nell'ottenere permessi superiori a quelli assegnati, per esempio passando da utente semplice ad amministratore sfruttando un errore di controllo dei ruoli. Per prevenirla servono pochi account privilegiati, plugin aggiornati e revisioni periodiche degli utenti.

Il legame con i ransomware

Molti ransomware non iniziano dal sito, ma una compromissione di WordPress può offrire un primo accesso: credenziali rubate, una web shell caricata o un server condiviso con altri sistemi. Separare il sito dalla rete interna e limitare i privilegi dell'hosting riduce l'impatto.

Come leggere gli avvisi di sicurezza: CVE e CVSS

Quando un plugin ha una falla, spesso viene pubblicato un avviso con un identificativo CVE (Common Vulnerabilities and Exposures). Il codice è un riferimento univoco che permette a tutti di parlare della stessa vulnerabilità e di cercarne la descrizione nelle banche dati pubbliche.

Accanto al CVE trovi di solito un punteggio CVSS, una scala da 0 a 10 che stima la gravità. Più è alto, più il problema è serio, ma il numero da solo non basta: conta se il plugin è installato da te, se la falla è sfruttabile senza autenticazione e se esiste già un exploit in circolazione.

In pratica, quando vedi un avviso su un plugin che usi:

1. Verifica che la versione installata sia tra quelle interessate.
2. Controlla se è disponibile una versione corretta e aggiorna.
3. Se non esiste una correzione, valuta la disattivazione o un'alternativa.
4. Annota l'intervento, così da avere traccia di ciò che hai fatto.

Questo processo, ripetuto con metodo, è il cuore della gestione delle vulnerabilità.

Cosa fare se il sito WordPress è stato compromesso

Se sospetti un'intrusione, agisci in modo ordinato. Cancellare a caso i file sospetti rischia di lasciare backdoor nascoste.

1. Metti il sito in manutenzione o isolalo, per evitare danni ai visitatori.
2. Cambia tutte le password: WordPress, database, hosting, FTP e posta collegata.
3. Controlla utenti amministratori, file modificati di recente e attività pianificate sconosciute.
4. Ripristina da un backup precedente alla compromissione, se disponibile, e aggiorna subito tutto.
5. Analizza i log per capire da dove è entrato l'aggressore, altrimenti il problema si ripresenterà.

Se nel sito passano dati personali di clienti, valuta con il tuo consulente legale o il DPO se ci siano obblighi di notifica, e verifica gli adempimenti applicabili alla tua organizzazione, anche alla luce di NIS 2 e vulnerabilità se rientri nel perimetro.

Quando serve una verifica professionale

Le buone pratiche riducono il rischio, ma non ti dicono cosa succede davvero se qualcuno attacca il tuo sito. Per questo un controllo esterno aiuta, soprattutto se hai un e-commerce, aree riservate, integrazioni con gestionali o plugin personalizzati.

Un vulnerability assessment individua falle note e configurazioni deboli, mentre un test di intrusione ne verifica lo sfruttamento reale. Per capire la differenza puoi leggere la guida su cos'è un pentest e come funziona.

Conclusione

Sapere come proteggere un sito WordPress dagli attacchi significa soprattutto lavorare con costanza: aggiornare, ridurre plugin e permessi, proteggere gli accessi, tenere backup affidabili e controllare periodicamente lo stato del sito. Non servono soluzioni complicate per partire, ma serve un metodo.

Se vuoi capire quanto è esposto il tuo sito e quali interventi hanno la priorità, puoi conoscere l'approccio di Fred for Security e valutare un confronto con il team, senza impegno.

Domande frequenti