Plugin WordPress non aggiornati:
rischi reali e come aggiornarli

Quando un sito WordPress viene violato, quasi mai il colpevole è WordPress in sé. Nella grande maggioranza dei casi la porta d'ingresso è un plugin non aggiornato: un modulo di contatto, uno slider, un page builder installato anni fa e mai più toccato.

In questo articolo vediamo perché i plugin vecchi sono così pericolosi, come capire in pochi minuti quali sono a rischio sul tuo sito e come aggiornarli senza rompere nulla.

Perché un plugin non aggiornato è un rischio

Ogni plugin è un pezzo di codice scritto da uno sviluppatore diverso. Quando qualcuno scopre una falla di sicurezza, lo sviluppatore rilascia un aggiornamento che la corregge e la vulnerabilità diventa pubblica: compare nei database di sicurezza, con il nome del plugin e le versioni coinvolte.

Da quel momento parte una corsa. Programmi automatici scandagliano internet cercando i siti che usano ancora la versione vulnerabile. Non cercano te in particolare: cercano chiunque non abbia aggiornato. Se il tuo sito è tra questi, prima o poi viene trovato.

A peggiorare le cose c'è un dato: secondo Patchstack, società specializzata nella sicurezza di WordPress, circa un terzo delle vulnerabilità scoperte nell'ecosistema WordPress non riceve mai una correzione (fonte). Succede con i plugin abbandonati dai loro autori: lì aggiornare non basta, bisogna sostituirli.

Abbiamo raccontato un caso reale, con le conseguenze di un attacco e il lavoro di bonifica, nell'articolo Sito WordPress hackerato: cosa fare (e cosa non fare).

Cosa rischi concretamente

• Il sito infettato che reindirizza i visitatori verso siti di truffe o pubblicità indesiderata.
• Pagine spam indicizzate su Google con il tuo dominio, spesso in lingue straniere.
• La schermata rossa del browser ("Sito ingannevole" o "Il sito contiene malware") che blocca i visitatori, e il sito che sparisce dalle ricerche.
• Furto di dati dei clienti: se riguarda dati personali, la violazione va di regola notificata al Garante Privacy entro 72 ore.
• Email bloccate, perché il server viene usato per inviare spam e finisce nelle liste nere.

Come capire se i tuoi plugin sono a rischio

Dal pannello di WordPress

1. Accedi alla bacheca e apri Bacheca → Aggiornamenti: trovi l'elenco di plugin, temi e versione di WordPress da aggiornare.
2. Vai su Plugin → Plugin installati: sotto i plugin non aggiornati compare l'avviso "È disponibile una nuova versione".
3. Guarda anche i plugin disattivati: il codice resta sul server e può essere sfruttato anche se il plugin è spento.

Senza entrare nel pannello

Con il check gratuito del tuo sito controlliamo dall'esterno le versioni dei plugin e del tema che il sito dichiara pubblicamente e le confrontiamo con quelle ufficiali di WordPress.org. Ti diciamo quali sono indietro e se qualcuno è stato ritirato dalla directory ufficiale, spesso proprio per problemi di sicurezza.

Come aggiornare i plugin senza rompere il sito

La paura più comune è: "se aggiorno, il sito si rompe". Può succedere, soprattutto se il sito non viene aggiornato da molto tempo. Ma il rimedio non è smettere di aggiornare: è aggiornare con metodo.

1. Fai un backup completo di file e database. Usa il backup del tuo hosting o un plugin come UpdraftPlus, e verifica di saperlo ripristinare.
2. Se il sito è importante, prova prima su una copia (ambiente di staging). Molti hosting la creano con un clic.
3. Aggiorna un plugin alla volta, partendo da quelli di sicurezza e da quelli con aggiornamenti in sospeso da più tempo.
4. Controlla il sito dopo ogni aggiornamento: home, moduli di contatto, carrello e checkout se hai un e-commerce.
5. Aggiorna per ultimi page builder e WooCommerce, che possono richiedere più attenzione.
6. Elimina i plugin che non usi più, invece di lasciarli disattivati.

Plugin abbandonati e plugin "craccati"

Un plugin che non riceve aggiornamenti da più di un anno è un campanello d'allarme. Su WordPress.org lo vedi nella sua scheda, alla voce "Ultimo aggiornamento". Se un plugin è stato chiuso, la pagina lo dice esplicitamente: in quel caso va sostituito con un'alternativa mantenuta.

Discorso a parte per i plugin a pagamento. Se la licenza è scaduta, il plugin smette di ricevere aggiornamenti anche se continua a funzionare. E non usare mai versioni "gratuite" di plugin a pagamento scaricate da siti non ufficiali: spesso contengono codice malevolo già inserito.

Aggiornamenti automatici: sì o no?

Da WordPress 5.5 puoi attivare gli aggiornamenti automatici per ogni singolo plugin, dalla pagina Plugin. Ha senso per i plugin piccoli e affidabili. Per page builder, WooCommerce e plugin che toccano pagamenti o gestionali è meglio aggiornare a mano, dopo un backup, per poter controllare subito che tutto funzioni.

Ogni quanto aggiornare

• Controllo settimanale degli aggiornamenti disponibili.
• Aggiornamenti di sicurezza: appena escono.
• Backup automatici: almeno giornalieri per un e-commerce, settimanali per un sito vetrina.

Se non hai tempo di farlo con costanza, è il motivo per cui esistono i servizi di manutenzione. Nell'articolo Come scegliere un servizio di assistenza WordPress trovi le 7 domande da fare prima di affidarlo a qualcuno.

Domande frequenti

Se il sito funziona, perché dovrei aggiornare?

Perché le falle di sicurezza non si vedono: il sito funziona perfettamente fino al giorno in cui viene violato. Aggiornare costa pochi minuti a settimana, ripulire un sito infettato costa giorni di lavoro e visibilità persa.

Ho aggiornato e il sito si è rotto: cosa faccio?

Ripristina il backup fatto prima dell'aggiornamento, poi aggiorna di nuovo un plugin alla volta per capire quale crea il problema. Spesso il conflitto si risolve aggiornando anche il tema o la versione di PHP.

Devo aggiornare anche il tema?

Sì. Il tema è codice come i plugin e riceve correzioni di sicurezza. Se hai fatto modifiche dirette ai file del tema, spostale prima in un tema figlio, altrimenti l'aggiornamento le cancella.

Quanti plugin sono troppi?

Non esiste un numero giusto. Conta la qualità: meglio 25 plugin mantenuti e aggiornati che 10 abbandonati. Ogni plugin in più però è un pezzo di codice in più da tenere aggiornato.

Scopri quali plugin del tuo sito sono a rischio

Fai il check gratuito di Nexta Studio: in pochi secondi vedi quali plugin e temi sono indietro, oltre a sicurezza, velocità e obblighi di legge. Se preferisci non pensarci più, ci occupiamo noi degli aggiornamenti ogni mese, con backup e controllo del sito dopo ogni intervento. Chiamaci al 351 358 7973.