WordPress a rischio: cos'è wp2shell

Negli ultimi giorni la comunità della sicurezza informatica ha acceso i riflettori su una nuova, seria minaccia per il mondo WordPress: una catena di vulnerabilità ribattezzata wp2shell, che colpisce direttamente il core del CMS più diffuso al mondo.

Non è il nome di un plugin né di un attacco isolato: è una combinazione di due bug del core di WordPress che, uniti, permettono a chiunque — senza bisogno di login, password o accessi di alcun tipo — di prendere il controllo di un sito vulnerabile fino a eseguire codice sul server.

È il genere di notizia che merita cinque minuti di attenzione anche se non sei uno sviluppatore, perché la domanda giusta da farsi non è "cos'è successo" ma "il mio sito è a rischio, e cosa devo fare adesso?"

Wp2shell: Perché fa più paura del solito

La maggior parte degli allarmi di sicurezza su WordPress riguarda plugin o temi di terze parti: qualcosa che, in teoria, puoi disinstallare per mettere al sicuro il sito.

Qui il discorso è diverso, perché il problema sta nel cuore stesso della piattaforma — quello che usano tutti, a prescindere da quali plugin abbiano installato.

Tecnicamente, wp2shell combina due debolezze (exploit) distinte: un difetto di tipo SQL Injection nel core e un problema nella gestione delle richieste "batch" della REST API (il sistema che permette di raggruppare più chiamate in un'unica richiesta).

Da sole non sarebbero catastrofiche; incastrate insieme, permettono a un attaccante anonimo di scavalcare i controlli di WordPress e arrivare, in certi casi, a eseguire comandi arbitrari sul server.

Anche il CERT-AGID ha ritenuto la cosa abbastanza seria da diffondere un avviso agli amministratori italiani.

Il tuo sito è tra quelli a rischio?

Qui serve un minimo di chiarezza, perché non tutte le versioni di WordPress sono coinvolte allo stesso modo:

Le versioni che risolvono il problema sono la 6.8.6, la 6.9.5 e la 7.0.2.

Il consiglio pratico è semplice: apri la bacheca di WordPress, controlla la versione installata e verifica che l'aggiornamento sia andato davvero a buon fine — gli aggiornamenti automatici sono partiti, ma su hosting particolari o installazioni personalizzate a volte si inceppano, quindi un controllo manuale non fa mai male.

Aggiornare basta, o devo controllare altro?

Aggiornare chiude la porta, ma non ti dice se qualcuno era già entrato prima che tu la chiudessi.

Vale la pena dedicare qualche minuto a controllare:

• se tra gli utenti amministratori del sito ce n'è uno che non hai creato tu;
• se ci sono plugin o temi installati che non ricordi di aver messo;
• se qualche file del sito risulta modificato senza motivo;
• se nei log compaiono richieste insolite verso gli endpoint REST batch;
• se ci sono file .php sospetti in cartelle dove non dovrebbero esserci (segno tipico di una web shell).

Se trovi anche solo uno di questi indizi, la cosa più sensata è non "ripulire" subito di getto: meglio isolare il sito, conservare una copia di file e log così come sono (utile se servisse un'analisi più approfondita) e cambiare tutte le password collegate — WordPress, database, hosting, FTP.

Non riesci ad aggiornare subito? Un fix temporaneo

Capita di non poter aggiornare all'istante — magari per compatibilità con altri plugin, o perché la gestione tecnica non dipende direttamente da te.

In quel caso, puoi bloccare temporaneamente l'accesso agli endpoint sfruttati dall'exploit direttamente via server, ad esempio con Apache aggiungendo queste righe al file .htaccess:

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-json/batch/v1 [OR]
RewriteCond %{QUERY_STRING} (^|&)rest_route=/batch/v1(&|$)
RewriteRule ^ - [F,L]

Attenzione: questa regola rappresenta una misura temporanea, non la soluzione al problema.

Blocca dall'esterno il percorso sfruttato dall'exploit, ma potrebbe interferire con plugin o funzionalità che utilizzano legittimamente lo stesso endpoint della REST API.

Considerala quindi una protezione d'emergenza: appena possibile aggiorna WordPress, plugin e tema, quindi rimuovi la regola dopo aver verificato che tutto funzioni correttamente.

Cosa portarsi a casa da questa storia

wp2shell finirà tra qualche settimana nel dimenticatoio delle notizie di sicurezza, ma la lezione resta valida ben oltre questo caso specifico: nessuna piattaforma, per quanto matura e diffusa, è al riparo da bug critici nel proprio core.

Per chi amministra siti WordPress, le buone abitudini restano sempre le stesse tre cose ma efficaci:

• aggiornamenti tempestivi di core, plugin e temi;
• backup regolari e verificati (un backup che non hai mai provato a ripristinare non è un vero backup);
• un minimo di monitoraggio periodico su utenti, file e attività del sito.

Per ora, se hai un sito WordPress, la prima cosa da fare resta una sola: andare a controllare la versione installata.

Domande frequenti sulla manutenzione di WordPress

1. Perché è importante aggiornare regolarmente WordPress?

Aggiornare WordPress significa mantenere il sito protetto dalle vulnerabilità di sicurezza, migliorare le prestazioni e garantire la compatibilità con plugin, temi e nuove tecnologie. Un sito non aggiornato è più esposto ad attacchi informatici e malfunzionamenti.

2. Cosa comprende un aggiornamento completo di un sito WordPress?

Un aggiornamento professionale non riguarda solo il core di WordPress, ma include anche:

• aggiornamento dei plugin;
• aggiornamento del tema;
• verifica della compatibilità tra tutti i componenti;
• controllo della versione di PHP;
• test del corretto funzionamento del sito;
• eventuale correzione di errori emersi dopo gli aggiornamenti.

3. Perché è fondamentale eseguire un backup prima degli aggiornamenti?

Prima di qualsiasi intervento è indispensabile creare un backup completo di file e database. In questo modo, se un aggiornamento dovesse causare problemi o incompatibilità, è possibile ripristinare rapidamente il sito senza perdita di dati.

4. Aggiornare i plugin può creare problemi?

Sì, soprattutto quando i plugin sono molto datati oppure non sono più mantenuti dagli sviluppatori. Per questo motivo è importante verificare la compatibilità con la versione di WordPress installata e testare il sito dopo ogni aggiornamento.

5. Perché bisogna controllare anche la versione di PHP?

WordPress e molti plugin richiedono versioni recenti di PHP per funzionare correttamente. Utilizzare una versione obsoleta può comportare problemi di sicurezza, rallentamenti e incompatibilità con gli aggiornamenti più recenti.

6. Ogni quanto tempo è consigliabile aggiornare un sito WordPress?

In genere è consigliabile verificare la disponibilità degli aggiornamenti almeno una volta alla settimana. Per siti aziendali, e-commerce o portali molto visitati è preferibile un monitoraggio continuo, così da applicare rapidamente gli aggiornamenti di sicurezza.

7. È sicuro aggiornare WordPress direttamente sul sito online?

Dipende dalla complessità del progetto. Per siti semplici può essere sufficiente eseguire un backup preventivo. Per siti complessi o e-commerce è consigliabile effettuare prima i test in un ambiente di staging, così da evitare interruzioni del servizio.

8. Come verificare che il sito funzioni correttamente dopo un aggiornamento?

Dopo ogni aggiornamento è buona pratica controllare:

• il corretto caricamento delle pagine;
• moduli di contatto;
• area amministrativa;
• eventuale e-commerce;
• funzionalità personalizzate;
• velocità del sito;
• eventuali errori nei log del server.

9. Cosa succede se non aggiorno il mio sito WordPress?

Un sito non aggiornato può diventare vulnerabile ad attacchi informatici, subire malfunzionamenti, perdere compatibilità con i browser moderni e andare incontro a problemi di indicizzazione nei motori di ricerca. Inoltre, un eventuale ripristino dopo un'infezione può risultare molto più costoso di una manutenzione periodica.

10. La manutenzione di WordPress migliora anche l'esperienza utente?

Sì. Un sito aggiornato è generalmente più veloce, stabile e sicuro, fattori che contribuiscono a una migliore esperienza utente. Inoltre, evitare errori tecnici, pagine non funzionanti e problemi di compatibilità aiuta a mantenere una buona qualità del sito anche agli occhi dei motori di ricerca.

Hai bisogno di una mano?

Sono un webmaster attivo a Roma e mi occupo quotidianamente di assistenza e manutenzione per siti WordPress. Se sospetti che il tuo sito sia stato compromesso o vuoi semplicemente essere sicuro che sia aggiornato e protetto, posso aiutarti con:

• assistenza per sito web infetto, se temi o hai già riscontrato una compromissione;
• assistenza siti web, per aggiornamenti, manutenzione e messa in sicurezza continuativa.

Offro inoltre spazi web con hosting sicuro, dotati di sistema antivirus e backup automatici tramite JetBackup 5, per avere sempre una copia recuperabile del sito in caso di problemi.