Il 90% di tutte le vulnerabilità di WordPress, secondo WPScan risiedono nei plugin.
Di conseguenza, i plug-in sono il punto d’ingresso più vulnerabile e maggiormente sfruttato dagli hacker per infettare i siti web costruiti con piattaforma WordPress. Considerati i dati degli ultimi anni, le vulnerabilità dei plugin di WordPress sono aumentate del 142% solo nel 2021, secondo i dati di Risk Based Security. Conoscere le attuali vulnerabilità dei plug-in che potrebbero esporre il tuo sito è decisamente un’informazione di importanza vitale. Ciò dà la possibilità alle aziende di aggiornarli, rimuoverli ed eliminarli fino a quando non viene resa disponibile una patch di sicurezza.
In questo modo, puoi impedire agli hacker di scoprire e utilizzare falle di sicurezza per accedere al tuo sito web.
In quest’articolo tratteremo un panorama delle vulnerabilità nei plugin di WordPress, alcuni consigli e best practice per affrontarle.

- Vulnerabilità nei Plugin di WordPress, che cosa sono
- I rischi correlati a una vulnerabilità nei plugin di WordPress
- Responsabilità di prevenzione e mitigazione, a chi spetta?
- Alcune considerazioni finali sulla protezione dei plug-in di WordPress
Vulnerabilità nei Plugin di WordPress, che cosa sono
Le WordPress plugin vulnerability rappresentano delle falle di sicurezza all’interno di componenti aggiuntivi utilizzati per estendere le funzionalità del popolare sistema di gestione dei contenuti (CMS). Questi plugin, sviluppati da terze parti, possono contenere problemi di sicurezza a livello di codice sorgente, configurazione o integrazione che espongono il sito web a possibili attacchi informatici.
Tali vulnerabilità possono manifestarsi in diverse forme, tra cui:
- iniezione SQL
- cross-site scripting (XSS)
- cross-site request forgery (CSRF)
- inclusione di file remoti (RFI).
Se non adeguatamente identificate e risolte, queste falle di sicurezza possono permettere a malintenzionati di accedere a informazioni sensibili, di compromettere l’integrità dei dati o di assumere il controllo del sito web stesso, causando gravi conseguenze per l’utente e l’organizzazione che lo gestisce.
Altre vulnerabilità più comuni che si possono trovare in un plugin di WordPress sono:
- Input vulnerability
quando un plugin non valida correttamente i dati che vengono inviati al sito Web, permettendo a un attaccante d’inviare input dannosi che possono essere utilizzati per compromettere il sito.
- Vulnerabilità di autenticazione
si verificano quando un plugin non gestisce correttamente le credenziali di accesso, permettendo a un attaccante di accedere al sito utilizzando credenziali false o rubate.
- Directory traversal vulnerability
quando un plugin non protegge adeguatamente le directory del sito, permettendo a un attaccante di accedere a file e directory non autorizzati.
- Vulnerabilità di upload di file
si verificano quando un plugin non gestisce correttamente gli upload di file, permettendo a un attaccante di caricare file dannosi sul sito.
- Permission vulnerability
quando un plugin non gestisce correttamente i permessi degli utenti, permettendo a un attaccante di eseguire azioni non autorizzate sul sito.
I rischi correlati a una vulnerabilità nei plugin di WordPress
Gli hacker possono sfruttare le vulnerabilità nei plugin di WordPress per compiere diversi tipi di attacchi, esponendo il sito web a gravi rischi. Ecco una panoramica delle vulnerabilità tecniche associate ai plugin di WordPress e dei possibili attacchi informatici che possono derivarne:
Iniezione SQL su plugin WordPress
Le vulnerabilità di iniezione SQL consentono agli hacker di inserire ed eseguire comandi SQL dannosi nel database del sito, compromettendo l’integrità, la riservatezza e la disponibilità dei dati. Gli attacchi di iniezione SQL possono portare alla divulgazione di informazioni sensibili, all’alterazione o all’eliminazione dei dati e, in alcuni casi, all’assunzione del controllo del server del sito web.
Cross-Site Scripting (XSS) su plug-in WordPress
Le vulnerabilità XSS si verificano quando un sito web non riesce a sanificare adeguatamente l’input dell’utente, consentendo agli hacker di inserire codice JavaScript dannoso che viene eseguito nel browser dei visitatori. Gli attacchi XSS possono compromettere la sicurezza dei dati degli utenti, rubare le loro credenziali di accesso e diffondere ulteriormente il codice dannoso.
Cross-Site Request Forgery (CSRF) su WordPress plugin
Le vulnerabilità CSRF si verificano quando un sito web non verifica adeguatamente la legittimità delle richieste in entrata, consentendo agli hacker di costringere gli utenti a eseguire azioni indesiderate sul sito. Gli attacchi CSRF possono portare alla modifica non autorizzata delle impostazioni dell’utente, all’invio di messaggi fraudolenti e alla compromissione delle informazioni di accesso.
Inclusione di File Remoti (RFI) e Locali (LFI)
Le vulnerabilità RFI e LFI consentono agli hacker di includere file dannosi all’interno del sito web, compromettendo la sicurezza del server e dei suoi visitatori. Gli attacchi RFI e LFI possono portare all’iniezione di malware, all’esecuzione di codice arbitrario sul server e alla divulgazione di informazioni sensibili.
Divulgazione di informazioni in seguito a vulnerabilità su plug-in
Le vulnerabilità di divulgazione di informazioni si verificano quando un plugin espone involontariamente dati sensibili, come informazioni di configurazione, credenziali di accesso o informazioni personali degli utenti. Queste informazioni possono essere utilizzate dagli hacker per pianificare e lanciare attacchi più mirati.
Privilege Escalation
Le vulnerabilità di escalation dei privilegi si verificano quando un plugin concede inavvertitamente a un utente non autorizzato l’accesso a funzionalità riservate agli amministratori o agli utenti con privilegi elevati. Questo può permettere agli hacker di assumere il controllo del sito, modificare le impostazioni e accedere a informazioni sensibili.
Responsabilità di prevenzione e mitigazione, a chi spetta?
La responsabilità di prevenire e mitigare le vulnerabilità nei plugin di WordPress dipende dalla configurazione del sito e dal ruolo svolto dalle diverse parti coinvolte. In generale, la responsabilità può essere suddivisa in tre categorie:
- Proprietario del sito web
il proprietario del sito ha la responsabilità di mantenere il sito sicuro e protetto. Ciò include l’aggiornamento regolare dei plugin e dei temi del sito, nonché la scelta di plugin e temi sicuri e sviluppati da fonti affidabili. - Fornitore di hosting
il fornitore di hosting ha la responsabilità di proteggere il sito web dalle vulnerabilità a livello di server, ad esempio fornendo un firewall e un sistema di rilevamento delle intrusioni. - Sviluppatore del plugin
lo sviluppatore del plugin ha la responsabilità di scrivere codice sicuro e di risolvere rapidamente eventuali vulnerabilità rilevate nel plugin.
Inoltre, è importante notare che la responsabilità di proteggere il sito dalle vulnerabilità non può essere trasferita completamente a una sola parte.
Ogni parte coinvolta ha un ruolo importante nella protezione del sito e tutte devono lavorare insieme per garantirne la sicurezza.
Alcune considerazioni finali sulla protezione dei plug-in di WordPress
Le WordPress plugin vulnerability possono rappresentare un rischio per la sicurezza del sito e dei dati dei visitatori. È importante prendere misure per proteggere il sito e risolvere eventuali vulnerabilità al più presto, per evitare che gli hacker possano sfruttarle per accedere al sito o per diffondere malware. Alcune delle misure che è possibile prendere per proteggere il sito dalle vulnerabilità nei plugin includono:
- Tenere il plugin aggiornato all’ultima versione disponibile
gli aggiornamenti spesso includono correzioni di vulnerabilità e altre migliorie della sicurezza. - Utilizzare plugin affidabili e di qualità
scegliere plugin sviluppati da aziende o individui affidabili e con un buon track record di sicurezza. - Rimuovere i plugin non utilizzati od obsoleti
i plugin non utilizzati od obsoleti possono rappresentare un rischio di sicurezza, quindi è importante rimuoverli. - Utilizzare una password forte e univoca per ogni account
utilizzare password complesse e non riutilizzare le stesse password per più account. - Fare il backup regolarmente
fare il backup del sito regolarmente permette di ripristinare il sito in caso di attacco o altri problemi. - Limitare l’accesso FTP
limitare l’accesso FTP (File Transfer Protocol) può aiutare a proteggere il sito dalle vulnerabilità nei plugin di WordPress, poiché FTP è spesso utilizzato per trasferire file tra il computer locale e il server del sito. Se l’accesso FTP è limitato solo ai membri del team che ne hanno effettivamente bisogno, ciò può aiutare a prevenire che gli hacker o altri individui non autorizzati possano caricare o modificare i file del sito, il che potrebbe rappresentare un rischio di sicurezza. - Configurare il file .htaccess per proteggere i file sensibili
è possibile utilizzare il file .htaccess per impedire l’accesso al file wp-config.php, che contiene informazioni sensibili come le credenziali di accesso al database del sito. Inoltre, è possibile utilizzare il file .htaccess per bloccare l’accesso a determinati indirizzi IP o per impedire l’accesso a file specifici. Configurare il file .htaccess in modo appropriato può aiutare a proteggere il sito dalle vulnerabilità nei plugin e da altre minacce alla sicurezza.
- Autore articolo
- Ultimi articoli

Sono un giovane italo-tunisino appassionato della camminata. Da piccolo cambiavo sempre il mio tragitto per andare a scuola e nel 2008 mi trasferivo in Italia per iniziare un nuovo cammino.
Questa passione mi ha consentito di raggiungere importanti traguardi formativi, quali il diploma come perito tecnico industriale con il massimo dei voti e la laurea triennale in ingegneria biomedica.
Attualmente, sono uno studente laureando alla magistrale di Biomedical Engineering. Di recente ho vinto l’assegnazione della Cybersecurity Scholarship 2021 – 2022 Cisco.