Cosa fare il giorno in cui viene pubblicata una vulnerabilità di un plugin WordPress

Quasi ogni giorno viene pubblicata una nuova vulnerabilità in un plugin WordPress. La maggior parte non richiede altro che il prossimo aggiornamento di routine. Alcune richiedono di agire oggi: quelle sfruttate attivamente, quelle che non richiedono login o quelle che riguardano un plugin installato su decine di siti dei clienti. Questa guida è una routine per quel giorno: come decidere in fretta se una falla ti riguarda, come trovare ogni sito colpito e cosa fare dopo l’aggiornamento.

Passo 1: decidi in cinque minuti se è urgente

Leggi l’avviso vero e proprio (Patchstack, Wordfence o WPScan), non solo il titolo. Quattro domande decidono quanto in fretta agisci:

• Viene sfruttata? Un avviso che parla di attacchi già osservati va in cima alla tua giornata.
• Serve un login? Una falla che un visitatore anonimo può usare è molto più pericolosa di una che richiede un account amministratore.
• Cosa può fare un attaccante? Caricare file, eseguire codice o creare account amministratore è peggio di un XSS riflesso che richiede un clic.
• Su quanti dei tuoi siti è installato? Un sito è un compito; quaranta siti sono un progetto con una scadenza.

Se la risposta alle prime due domande è sì, trattala come urgente: i siti colpiti oggi, non al prossimo giro di manutenzione.

Passo 2: trova ogni sito colpito

Ti servono due informazioni per sito: il plugin è installato (attivo o no) e in quale versione. Anche i plugin inattivi contano. Il codice vulnerabile resta sul server e spesso è ancora raggiungibile direttamente.

Con WP-CLI bastano pochi secondi per sito:

wp plugin list --name=ninja-forms --fields=name,status,version

Senza WP-CLI, controlla in Plugin in wp-admin, oppure la versione nel readme.txt del plugin. Scrivi il risultato in un’unica lista: sito, installato sì o no, versione, versione corretta. Quella lista è la tua checklist per il resto della giornata e poi la tua prova per il cliente.

Passo 3: aggiorna i siti colpiti, prima i più esposti

Inizia dai siti che contano di più se vengono colpiti: negozi online, siti con molti moduli o account utente e siti con molto traffico. Prima di ogni aggiornamento, assicurati che esista un backup recente che puoi davvero ripristinare.

Gli aggiornamenti di sicurezza di solito sono piccoli, ma non sempre. Alcuni produttori includono la correzione in una release più grande con altre modifiche. Se la versione corretta è un grande salto, o il plugin gestisce moduli o il checkout, provala prima su una copia del sito quando puoi e poi controlla le pagine principali.

Se oggi non puoi aggiornare, ad esempio perché la correzione non è ancora uscita o l’aggiornamento rompe qualcosa, riduci il rischio: disattiva il plugin se il sito può farne a meno per un giorno, oppure blocca l’endpoint vulnerabile nel firewall se l’avviso lo indica. Spiega al cliente cosa hai fatto e perché.

Passo 4: prova ciò che fa il plugin

Un aggiornamento riuscito non è la stessa cosa di un sito che funziona. Dopo l’aggiornamento, prova ciò a cui serve il plugin. Per un plugin di moduli, invia un vero invio di prova e controlla che l’email arrivi. Per un plugin di negozio, fai un ordine di prova fino al pagamento. Un modulo che smette di inviare in silenzio può costare a un cliente una settimana di contatti prima che qualcuno se ne accorga.

Passo 5: controlla se il sito è già stato colpito

L’aggiornamento chiude la falla. Non rimuove nulla di ciò che un attaccante ha lasciato prima. Se la falla è stata sfruttata prima della patch, controlla su ogni sito colpito:

• account amministratore che non riconosci;
• file PHP nella cartella uploads, che dovrebbe contenere solo media;
• file modificati di recente in plugin e temi che non hai aggiornato;
• attività pianificate sconosciute o reindirizzamenti che non hai impostato.

Se trovi segni di compromissione, ripristina un backup precedente al periodo dell’attacco, aggiorna subito e cambia tutte le password e le chiavi di sicurezza in wp-config.php. La sola patch non basta.

Passo 6: informa il cliente, in breve

I clienti leggono raramente notizie sulla sicurezza, ma notano quando la loro agenzia ha tenuto la situazione sotto controllo. Basta un breve messaggio: qual era il problema, se il loro sito era colpito o no, cosa hai fatto e quando. Trasforma un lavoro invisibile in valore visibile, e va anche nel tuo prossimo report di manutenzione.

La prossima volta, più veloce

• Tieni una lista di quali plugin girano su quali siti, così il passo 2 richiede pochi minuti.
• Segui una o due fonti di avvisi, non dieci.
• Assicurati che ogni sito abbia un backup che hai davvero ripristinato almeno una volta.
• Concorda in anticipo con i clienti che gli aggiornamenti di sicurezza urgenti avvengono fuori dal calendario normale.

Come Verploy gestisce le vulnerabilità dei plugin

Verploy mostra le vulnerabilità note nei plugin e nei temi di ogni sito collegato, così vedi subito quali siti sono colpiti. Ogni aggiornamento viene controllato, e quelli rischiosi vengono prima provati su una copia, moduli e checkout compresi. I backup notturni includono un test di ripristino, e se un sito si rompe dopo la pubblicazione, Verploy lo riporta indietro. Scopri di più sul monitoraggio delle vulnerabilità WordPress.