WP2Shell: la vulnerabilità WordPress che riapre il tema della sicurezza dei siti web

Non vogliamo creare allarmismi, ma nemmeno minimizzare quanto accaduto. Il 17 luglio 2026 sono state rese note due importanti vulnerabilità presenti direttamente nel core di WordPress, ovvero nel software principale sul quale si basa la piattaforma. La combinazione delle due falle, diventata nota con il nome di WP2Shell, poteva consentire a un aggressore di ottenere privilegi elevati e, in determinate condizioni, prendere il controllo di un sito non aggiornato.

La buona notizia è che WordPress ha già pubblicato le versioni correttive. L’episodio, però, offre l’occasione per affrontare un tema spesso sottovalutato dalle aziende: quanto è sicuro il proprio sito web e chi si occupa realmente di mantenerlo aggiornato nel tempo?

Che cos’è WP2Shell

WP2Shell è il nome attribuito alla combinazione di due vulnerabilità individuate nel core di WordPress. La particolarità del caso è proprio questa: non stiamo parlando del solito problema causato da un plugin abbandonato, da un tema non aggiornato o da una password troppo debole. Le vulnerabilità interessavano direttamente WordPress e potevano quindi coinvolgere anche siti con pochi plugin o con configurazioni apparentemente semplici.

Un sito rimasto su una versione vulnerabile avrebbe potuto essere utilizzato per:

• ✓ accedere a informazioni riservate;
• ✓ creare utenti amministratori non autorizzati;
• ✓ modificare pagine e contenuti;
• ✓ installare codice malevolo;
• ✓ reindirizzare i visitatori verso siti fraudolenti;
• ✓ mantenere un accesso nascosto al sistema.

Le versioni correttive sono state pubblicate rapidamente, ma chi utilizza WordPress deve comunque verificare che l’aggiornamento sia stato realmente applicato.

Perché questa vulnerabilità merita attenzione

La maggior parte dei problemi di sicurezza associati a WordPress riguarda normalmente componenti aggiuntivi sviluppati da terze parti. Plugin e temi possono infatti essere realizzati da produttori diversi, aggiornati con frequenze differenti o, in alcuni casi, non essere più supportati.

Con WP2Shell, invece, il problema si trovava nel cuore stesso della piattaforma. Questo significa che ridurre il numero di plugin, pur rimanendo una buona pratica, non sarebbe stato sufficiente a eliminare il rischio. Un sito poteva risultare esposto semplicemente perché utilizzava una versione vulnerabile di WordPress.

È proprio questo elemento ad aver reso la situazione particolarmente rilevante.

Gli attacchi sono realmente iniziati?

Sì. Nelle ore e nei giorni successivi alla pubblicazione degli aggiornamenti, diversi ricercatori di sicurezza hanno rilevato scansioni e tentativi di sfruttamento contro i siti che non erano ancora stati aggiornati.

Sono state documentate compromissioni, accessi non autorizzati ai pannelli amministrativi, caricamenti di componenti malevoli e installazioni di strumenti utili a mantenere il controllo del server. La velocità con cui sono iniziati i tentativi non deve sorprendere.

Quando viene pubblicato un aggiornamento di sicurezza, gli aggressori possono confrontare il codice precedente con quello corretto e cercare di ricostruire il funzionamento della vulnerabilità. Per questo le ore immediatamente successive alla pubblicazione di una patch sono spesso le più delicate: mentre molti proprietari devono ancora aggiornare i propri siti, gli strumenti di attacco possono già essere in circolazione.

Cosa può succedere a un sito compromesso

Un sito violato non viene necessariamente modificato in modo evidente. In alcuni casi la homepage continua ad apparire normale, mentre dietro le quinte vengono installati file, creati nuovi utenti o inseriti codici destinati a colpire i visitatori.

Un aggressore potrebbe, per esempio:

• ✓ mostrare moduli di accesso falsi;
• ✓ sottrarre credenziali e informazioni;
• ✓ reindirizzare gli utenti verso pagine fraudolente;
• ✓ diffondere malware;
• ✓ modificare coordinate bancarie o dati di contatto;
• ✓ utilizzare il server per altre attività dannose.

Per un’azienda, le conseguenze non sono soltanto tecniche. Un incidente di sicurezza può causare perdita di fiducia, interruzione delle campagne pubblicitarie, riduzione delle richieste commerciali, problemi di indicizzazione e costi imprevisti per il ripristino.

I rischi riguardano anche i visitatori

Quando un sito viene compromesso, anche gli utenti che lo visitano possono essere esposti a diversi pericoli. Potrebbero comparire richieste di accesso insolite, falsi messaggi di assistenza, pagine di pagamento fraudolente o download indesiderati. Un sito aziendale considerato affidabile può quindi trasformarsi, senza che il proprietario se ne accorga immediatamente, in uno strumento utilizzato per phishing, truffe o diffusione di malware.

Anche dopo la risoluzione del problema, il dominio potrebbe essere segnalato come sospetto da browser, motori di ricerca o sistemi di sicurezza. Recuperare la reputazione digitale può richiedere molto più tempo rispetto alla semplice rimozione del codice malevolo.

Cosa dovrebbe fare chi utilizza WordPress

Chi gestisce un sito WordPress dovrebbe innanzitutto controllare la versione installata e verificare che l’aggiornamento correttivo sia stato completato.

Le versioni sicure pubblicate per risolvere le vulnerabilità sono:

• ✓ WordPress 6.8.6;
• ✓ WordPress 6.9.5;
• ✓ WordPress 7.0.2.

Non è sempre sufficiente presumere che l’aggiornamento automatico sia avvenuto correttamente. Configurazioni particolari, permessi errati o aggiornamenti disattivati possono impedirne l’installazione.

È inoltre opportuno controllare:

• ✓ la presenza di amministratori sconosciuti;
• ✓ plugin o temi installati recentemente;
• ✓ modifiche inattese ai file;
• ✓ accessi insoliti;
• ✓ cambiamenti nelle configurazioni;
• ✓ il corretto funzionamento dei backup.

Se esiste il sospetto che il sito sia stato compromesso, aggiornare WordPress potrebbe non bastare.

È necessario verificare l’intero sistema, controllare file e database, cambiare le credenziali e accertarsi che non siano rimasti accessi nascosti.

WordPress è insicuro?

La risposta non può essere semplicemente sì o no. WordPress dispone di una comunità internazionale molto ampia e, in questo caso, le correzioni sono state pubblicate rapidamente.

La sua grande diffusione, tuttavia, lo rende anche un obiettivo particolarmente interessante per gli aggressori. Una vulnerabilità presente in una piattaforma utilizzata da milioni di siti può essere sfruttata attraverso strumenti automatizzati e campagne su larga scala.

Il problema non è quindi soltanto WordPress. Il vero rischio nasce quando un sito viene pubblicato e poi lasciato senza aggiornamenti, manutenzione, monitoraggio o un referente tecnico preciso.

Qualunque tecnologia, se non viene gestita correttamente, può diventare vulnerabile.

Perché AleMar Web non utilizza WordPress

In AleMar Web abbiamo scelto un approccio differente. I nostri siti non vengono sviluppati con WordPress e non dipendono da template preconfezionati o da una lunga serie di plugin realizzati da fornitori differenti.

Utilizziamo un CMS proprietario sviluppato internamente, progettando ogni sito sulla base delle reali esigenze dell’azienda. Il cliente può gestire in autonomia testi, immagini, pagine e contenuti attraverso un pannello semplice, mentre la parte tecnica rimane sotto il controllo diretto del nostro team.

Questo ci consente di:

• → conoscere direttamente il codice utilizzato;
• → installare soltanto le funzionalità necessarie;
• → ridurre la dipendenza da plugin e componenti esterni;
• → intervenire senza attendere aggiornamenti da numerosi fornitori;
• → gestire l’evoluzione del sito nel tempo;
• → mantenere un maggiore controllo sull’intero progetto.

Un CMS proprietario non è automaticamente invulnerabile. La sicurezza assoluta non esiste e qualsiasi software deve essere progettato, aggiornato e monitorato con attenzione. Il vantaggio del nostro modello è avere il controllo diretto sul codice e non dipendere da un ecosistema composto da migliaia di componenti installati indistintamente su milioni di siti.

Anche l’hosting è gestito direttamente da noi

La sicurezza di un sito non dipende soltanto dal CMS. Entrano in gioco anche il server, il database, le configurazioni, i certificati, i backup, i sistemi di accesso e il monitoraggio dell’infrastruttura. Per questo AleMar Web gestisce direttamente anche il servizio di hosting attraverso server fisici presenti presso la nostra azienda. Sito, CMS e hosting vengono quindi seguiti dallo stesso partner. Questo significa che, in caso di problema, non è necessario coordinare sviluppatori, hosting provider e fornitori esterni che si attribuiscono reciprocamente la responsabilità.

Il nostro team conosce:

• → il codice del sito;
• → il CMS;
• → le integrazioni;
• → la configurazione;
• → l’infrastruttura sulla quale il progetto è ospitato.

Possiamo quindi analizzare il sistema nel suo insieme e intervenire direttamente.

Un unico partner per tutto l’ecosistema digitale

Molte aziende hanno un fornitore per il sito, uno per l’hosting, uno per il gestionale e un altro ancora per le campagne pubblicitarie.

Quando tutto funziona, questa frammentazione può sembrare gestibile. Quando emerge un problema, però, diventa difficile individuare responsabilità e tempi di intervento.

AleMar Web segue l’intero ecosistema digitale dell’azienda:

• • siti web;
• • CMS;
• • hosting;
• • server;
• • domini;
• • CRM;
• • software gestionali;
• • sistemi di prenotazione;
• • integrazioni;
• • SEO;
• • campagne digitali.

Un sito sviluppato da noi può essere progettato fin dall’inizio per dialogare con gli altri strumenti aziendali, evitando soluzioni improvvisate e collegamenti aggiunti successivamente. Avere un unico partner significa avere un solo punto di riferimento e una visione completa del progetto.

Avere un sito online non significa avere un sito protetto

WP2Shell non rappresenta la fine di WordPress e non significa che ogni sito realizzato con questa piattaforma sia stato compromesso. Dimostra però quanto sia rischioso considerare il sito web come un prodotto concluso nel momento in cui viene pubblicato.

Un sito aziendale deve essere:

• • aggiornato;
• • controllato;
• • monitorato;
• • protetto;
• • supportato nel tempo.

Oggi il sito non è soltanto una vetrina. Raccoglie contatti, sostiene le campagne pubblicitarie, comunica con CRM e gestionali, riceve prenotazioni, gestisce pagamenti e rappresenta l’identità digitale dell’azienda. La sua sicurezza deve quindi essere considerata parte della continuità operativa dell’impresa.

Niente panico, ma niente improvvisazione.

Di fronte a vulnerabilità come WP2Shell non serve farsi prendere dal panico, ma nemmeno affidarsi a soluzioni trovate casualmente online. Serve un controllo eseguito da chi conosce realmente il sistema e può valutarne tutti gli aspetti. È in situazioni come questa che emerge la differenza tra avere semplicemente un sito pubblicato e avere un progetto digitale seguito nel tempo.

In AleMar Web sviluppiamo siti attraverso il nostro CMS proprietario, gestiamo direttamente l’hosting e manteniamo sotto il controllo dello stesso team codice, infrastruttura e integrazioni.

Un unico partner, un unico punto di riferimento e una maggiore consapevolezza sulla sicurezza dell’intero progetto digitale.

Hai un sito WordPress e vuoi verificarne lo stato oppure stai valutando una soluzione sviluppata su misura? Contattaci per analizzare il tuo sito e la sua infrastruttura.